Api on Ethical Hacking | Pentest e Sicurezza Informatica | Hackita

WebSocket Hijacking (CSWSH): Cross-Site WebSocket Hijacking e Data Theft Real-Time

Fri, 20 Mar 2026 00:00:00 +0000

Cos’è Il WebSocket Hijacking? #

I WebSocket sono connessioni persistenti e bidirezionali tra browser e server. A differenza delle normali request HTTP (il client chiede, il server risponde, la connessione si chiude), un WebSocket resta aperto: il server può inviare dati al client in qualsiasi momento — chat in tempo reale, notifiche, aggiornamenti di dashboard, trading live, giochi online.

Il WebSocket Hijacking (o CSWSH — Cross-Site WebSocket Hijacking) si verifica quando un attaccante riesce a stabilire una connessione WebSocket verso l’applicazione target usando i cookie della vittima. Il meccanismo è simile al CSRF: la vittima visita evil.com, JavaScript apre un WebSocket verso target.com, il browser include i cookie automaticamente, e il server accetta la connessione perché la sessione è valida. Da quel momento, l’attaccante riceve tutto il flusso dati in tempo reale — messaggi di chat, transazioni, notifiche — e può inviare messaggi come se fosse la vittima.

GraphQL Attacks: Introspection, Batching e Data Breach

Sun, 15 Mar 2026 00:00:00 +0000

GraphQL è una di quelle tecnologie che fanno sorridere un pentester. A differenza delle API REST — dove devi scoprire ogni endpoint con fuzzing e reverse engineering — GraphQL ha un singolo endpoint che espone un linguaggio di query completo. E la parte migliore: la funzionalità di introspection permette di chiedere all’API “dimmi tutto quello che sai fare”, e lei risponde con lo schema completo. Ogni tipo, ogni campo, ogni query, ogni mutation. Incluse quelle che il frontend non usa ma il backend espone lo stesso.

CORS Misconfiguration: Guida Completa a Exploit, Bypass e Data Theft nelle API

Sat, 14 Mar 2026 00:00:00 +0000

CORS (Cross-Origin Resource Sharing) è il meccanismo che controlla quali domini possono leggere le risposte di un’applicazione web. Per default, il browser blocca le request JavaScript cross-origin: se sei su evil.com, il tuo JavaScript non può leggere le risposte di target.com. CORS rilassa questa restrizione con header specifici.

Una CORS Misconfiguration si verifica quando il server configura questi header in modo troppo permissivo — accettando qualsiasi Origin, riflettendo l’Origin dell’attaccante, o fidandosi di domini che non dovrebbe. Il risultato: JavaScript su evil.com può leggere dati autenticati da target.com — profili, email, dati finanziari, token API — usando il cookie della vittima. È un data theft silenzioso: la vittima visita una pagina, il suo browser fa il lavoro sporco in background.

API Rate Limit Bypass: Tecniche di Pentesting per Bypassare il Throttling (2026)

Wed, 04 Mar 2026 00:00:00 +0000

Bypassare il Rate Limit di un’API: la Guida Pratica (con OTP e GraphQL) #

Il rate limit è il meccanismo che blocca un client dopo troppe request in poco tempo — ad esempio 10 tentativi di login ogni 15 minuti. È spesso l’ultima barriera reale: se il login non ha lockout, se un endpoint OTP genera codici a 6 cifre, se un’API espone dati in bulk, è il rate limit a impedire brute force e scraping su scala. Bypassarlo fa cadere tutte queste protezioni insieme — per il quadro completo sugli attacchi API vedi la guida API & Modern Web Attacks.

API Security: Guida Completa agli API Attacks e al Pentesting (SSRF, GraphQL, BOLA, CORS)

Wed, 04 Mar 2026 00:00:00 +0000

API & Modern Web Attacks — La Superficie D’Attacco Che Cresce Ogni Giorno #

Nel 2026 il web è fatto di API. Il frontend React/Vue/Angular parla con un backend REST o GraphQL. I microservizi parlano tra loro via API interne. Le mobile app parlano con le stesse API. I webhook, le integrazioni, i partner — tutto è API. L’applicazione web “classica” con form HTML e redirect server-side sta scomparendo. La superficie d’attacco si è spostata quasi interamente sulle API.

API Versioning Attack: Sfruttare Endpoint v1 Dimenticati nel Pentesting API (2026)

Wed, 04 Mar 2026 00:00:00 +0000

Cos’è Un API Versioning Attack? #

Un API Versioning Attack sfrutta le versioni precedenti di un’API che sono ancora raggiungibili ma non più mantenute. Quando un’applicazione passa dalla v1 alla v2, la v2 ha le patch di sicurezza, il rate limit aggiornato, l’autenticazione forte. Ma la v1 — quella “deprecata” — resta online perché qualche client legacy la usa ancora, o semplicemente perché nessuno si è ricordato di spegnerla.