账号发现: 合法API接口伪装查询

合法API接口伪装查询（Legitimate API Interface Camouflage Query）是一种利用目标系统或云平台提供的标准接口实施隐蔽账户枚举的技术。攻击者通过模拟合法客户端行为，调用系统内置的账户管理API（如Azure AD Graph API、AWS IAM ListUsers接口），将恶意查询请求伪装成正常的业务操作。该技术充分利用现代IT架构中API接口普遍存在的特性，通过精确控制请求参数和调用频率，使账户枚举行为融入日常运维流量，规避基于异常接口调用的检测机制。

该技术的匿迹效果源自对目标系统信任机制的逆向利用。攻击者首先通过凭证窃取或权限提升获取合法API访问令牌，随后在请求构造层面实施双重伪装：一方面遵循目标接口的协议规范，严格匹配HTTP方法、头部字段和参数格式；另一方面将敏感查询（如用户列表获取）与常规操作（如权限验证）进行逻辑捆绑，通过复合型API调用链稀释单一高危操作的检测权重。技术实现中特别注重时间维度控制，采用"低频长周期"的调用策略，将账户枚举任务拆解为多个看似无关的独立请求，并利用OAuth令牌刷新机制维持会话合法性。防御方通常难以从海量合法API日志中识别此类经过深度伪装的恶意行为，尤其在云原生环境中，由于API调用具有天然的高频性和多样性，使得攻击流量可完美隐藏于正常业务交互中。