安全攻防
evening
不猜参数，让目标自己告诉你：基于错误反馈的API参数自动发现
2026-07-27
1 阅读
约1分钟阅读
先知社区
字号:
API 参数发现通常依赖字典爆破或前端 JS 爬取，前者命中率低，后者在 SPA 应用中效果有限。本文提出一种新思路：利用后端 API 自身的错误反馈来发现参数——发送故意缺参数的请求，从 "parameter[user_code] is missing" ▎ 这类错误信息中提取参数名，迭代填充后继续请求直到获取完整参数表。整个过程无需字典、不依赖前端代码，让目标的输入校验逻辑替你做参数枚举。
这篇文章对您有帮助吗？
订阅66必读
每日精选科技资讯，直达你的邮箱