Decoy /api/users
Атакующие и сканеры ищут /api/users, /api/v1/users, /rest/users — стандартные пути API enumeration. Decoy /api/users отдаёт правдоподобный JSON со списком пользователей и ловит любой запрос.
Что это и зачем
Decoy генерирует trap-URL, который возвращает JSON с массивом users (admin@company.local, backup@company.local). Можно скачать api_users.json для размещения в swagger, Postman collection или zip api-docs.
GET на trap-URL → http_get. Скачивание через /download → file_download. Особенно эффективно в фейковом swagger.json или Postman collection на шаре.
Как работает
- Создаёте decoy — URL и api_users.json.
- Вставляете URL в swagger.json: "users": "trap-URL".
- Или добавляете в Postman collection «List users (prod)».
- Атакующие ищут /api/users — GET ловится.
Куда размещать
Фейковый swagger.json / openapi.yaml на шаре, Postman collection, zip api-docs-internal, ссылка в чате разработчиков, артефакт после «взлома».
Пошаговая инструкция
- 1Сгенерируйте decoy — URL и api_users.json.
- 2Скачайте api_users.json в архив api-docs-internal.zip.
- 3Создайте swagger.json со ссылкой на trap-URL.
- 4В Postman: GET trap-URL «List users (prod)».
- 5Проверка: curl trap-URL | jq .users
Что фиксируется
- http_get — запрос JSON
- file_download — скачивание api_users.json
- IP, User-Agent
Сценарии применения
- Обнаружение API enumeration после утечки swagger
- Ловушка в Postman collection на скомпрометированной машине
- Сигнал при сканировании /api/* путей
- Детектирование разведки после компрометации dev-окружения
Частые вопросы
Ловит ли POST /api/users?
Да, POST на trap-URL фиксируется как http_post. Полезно при попытках создания пользователей или injection.
Можно ли кастомизировать JSON?
Шаблон генерируется сервисом. Для кастомизации используйте скачанный api_users.json в своём swagger — trap-URL остаётся точкой срабатывания.
Работает ли с GraphQL?
Это REST decoy. Для GraphQL можно разместить trap-URL в фейковой schema как endpoint.
Похожие ловушки
Создайте «Decoy /api/users» за 2 минуты
Зарегистрируйте компанию — сервис создаст изолированный кабинет и сгенерирует артефакт с инструкцией по размещению.
Открыть кабинет