原文：
https://noobx.in/blogs/API-Misconfiguration-which-leads-to-unauthorized-access-to-servicedesk-tickets
大家好,
希望你在src方面做得好。由于经常会重复一些常见的错误，所以方法很重要。所以我分享我的一个独特的发现，作为网站名称不允许披露，我们当作它是redacted.com。
然而，这是我的第一篇文章，所以请忽略这些错误，抱歉我的中文不好！不浪费时间，让我们开始吧，
大多数时候，当我们看到API时，我们会fuzz敏感的路径和文件。我做了同样的，但没有什么有用的发现，所以我开始审计js文件。
你可以查看js的初学者指南:
https://medium.com/@patelkathan22/beginners-guide-on-how-you-can-use-javascript-in-bugbounty-492f6eb1f9ea
我主要喜欢用Linkfinder来发现：
https://github.com/GerbenJavado/LinkFinder
没有从js文件找到其他敏感信息，但一个端点引起了我的注意：
/servicedeskapi/v1/gettickets
访问它后获得了一个错误：
Get方法错误，那用POST呢？
然后说长度不正确，所以我在请求头加入了：Content-Length: 0
为了满足请求，它要求提供一些内容，所以我决定传递" app_id= "这是我在源代码中发现的，我错误地提供它没有JSON格式，现在我又得到一个错误。
最后一个要求是Content-Type: header和body必须是JSON格式，所以我们可以访问所有的Service desk ticket !
导读:
永远不要忘记查看js文件，它们就像金矿 🙂
工具很好，但不要忘记手动检查
错误只不过是提示，注意它们然后继续检查。
译者：
未知错误！请联系管理员！
本文迁移自知识星球“火线Zone”
