openapi-parser

[!UPDATE] تم تحديث هذا الامتداد لاستخدام أحدث Burp Montoya Java API. خضع الامتداد لإعادة بناء كاملة لتحسين كل من UI/UX والأداء. تضمن هذه التغييرات أن الامتداد حديث ومحسّن للاستخدام.

openapi-parser هو امتداد Burp Suite مصمم لاختبار API القائم على OpenAPI

تحدد مواصفات OpenAPI (OAS) وصف واجهة قياسيًا ومستقلًا عن لغة البرمجة لواجهات REST API، مما يسمح لكل من البشر والحواسيب باكتشاف وفهم قدرات الخدمة دون الحاجة إلى الوصول إلى الكود المصدري أو الوثائق الإضافية أو فحص حركة مرور الشبكة. عند تعريفها بشكل صحيح عبر OpenAPI، يمكن للمستهلك فهم والتفاعل مع الخدمة البعيدة بأقل قدر من منطق التنفيذ. على غرار ما فعلته أوصاف الواجهة للبرمجة منخفضة المستوى، تزيل مواصفات OpenAPI التخمين عند استدعاء الخدمة.

تتضمن حالات استخدام مستندات تعريف API القابلة للقراءة آليًا، على سبيل المثال لا الحصر: الوثائق التفاعلية؛ إنشاء الكود للوثائق والعملاء والخوادم؛ وأتمتة حالات الاختبار. تصف مستندات OpenAPI خدمات API ويتم تمثيلها إما بصيغة YAML أو JSON. يمكن إنتاج هذه المستندات وتقديمها بشكل ثابت أو إنشاؤها ديناميكيًا من تطبيق.

- مبادرة OpenAPI

قد يكون إجراء تقييم أمني لواجهات API القائمة على OpenAPI مهمة شاقة بسبب افتقار Burp Suite (معيار الصناعة) إلى إمكانيات تحليل OpenAPI الأصلية. أحد الحلول لهذه الحالة هو استخدام أدوات تابعة لجهات خارجية (مثل SOAP-UI) أو تنفيذ نصوص برمجية مخصصة (غالبًا لكل مهمة على حدة) للتعامل مع تحليل مستندات OpenAPI ودمج/ربط النتائج مع Burp Suite لاستخدام قدرات المسح من الدرجة الأولى.

openapi-parser هو محلل OpenAPI يهدف إلى تبسيط هذه العملية برمتها من خلال السماح لمتخصصي الأمن باستخدام Burp Suite كأداة مستقلة لتقييم أمن واجهات API القائمة على OpenAPI.

الميزات

• يمكن تحليل مستندات OpenAPI إما من ملف مزود أو رابط URL. يمكن للامتداد جلب مستندات OpenAPI مباشرة من رابط URL باستخدام ميزة إرسال إلى Swagger Parser ضمن قائمة السياق Target -> Site map.
• تحليل مستندات OpenAPI، المعروفة سابقًا باسم Swagger specification، متوافقة تمامًا مع مواصفات OpenAPI 2.0/3.0 (OAS).
• يمكن عرض/تحرير الطلبات مباشرة داخل الامتداد قبل إرسالها إلى أدوات Burp الأخرى.
• يمكن إرسال الطلبات إلى أدوات Burp: Comparer و Intruder و Organizer و Repeater و Scanner و Site map و .

المتطلبات

1. متطلبات النظام

• نظام التشغيل: متوافق مع أنظمة التشغيل Linux و macOS و Windows.

• Java Development Kit (JDK): الإصدار 11 أو أحدث.

• Burp Suite Professional أو Community Edition: الإصدار 2023.11.1.3 أو أحدث.

  [!IMPORTANT] يرجى ملاحظة أن استخدام أي إصدار أقل من 2023.3.2 قد يؤدي إلى java.lang.NoSuchMethodError. من الضروري استخدام الإصدار المحدد أو إصدار أحدث لتجنب هذه المشكلة.

2. أداة البناء

• Gradle: الإصدار 8.5 أو أحدث (موصى به). ملف build.gradle موجود في مستودع المشروع.

3. متغيرات البيئة

• قم بإعداد متغير البيئة JAVA_HOME للإشارة إلى دليل تثبيت JDK.

يرجى التأكد من استيفاء جميع متطلبات النظام، بما في ذلك إصدار متوافق من Burp Suite، قبل بناء وتشغيل المشروع. لاحظ أن التبعيات الخارجية للمشروع سيتم إدارتها وتثبيتها تلقائيًا بواسطة Gradle أثناء عملية البناء. سيؤدي الالتزام بالمتطلبات إلى تجنب المشكلات المحتملة وتقليل الحاجة إلى فتح مشكلات جديدة في مستودع المشروع.

التثبيت

1. التجميع

1. تأكد من تثبيت Gradle وتكوينه.

2. قم بتنزيل مستودع openapi-parser:

   root@kitploit:~

   git clone https://github.com/aress31/openapi-parser
   cd .\openapi-parser\
   

3. قم ببناء ملف jar المستقل:

   root@kitploit:~

   ./gradlew fatJar
   

2. تحميل الامتداد في Burp Suite

لتثبيت openapi-parser في Burp Suite، انتقل أولاً إلى علامة التبويب Extensions وانقر على زر Add. ثم حدد ملف openapi-parser-all jar الموجود في مجلد .\build\libs لتحميل الامتداد.

بدلاً من ذلك، يمكنك تخطي خطوة التجميع بالكامل وتنزيل الامتداد مباشرة من BApp Store.

ملاحظة: قد يكون الإصدار الموزع على BApp Store متأخراً عن الإصدار المتاح في هذا المستودع.

خارطة الطريق

• تحسين واجهة المستخدم الرسومية.
• تحليل عميق لمخططات OpenAPI لجمع جميع المعلمات المتداخلة مع مثالها/نوعها.
• تبسيط/إعادة هيكلة الكود.
  • استخدام MyHttpRequest بدلاً من RequestWithMetadata.
• تمكين تحرير الخلايا لتغيير استدعاءات API مباشرة من GUI.
• إصلاح علامة تبويب محرر الطلبات المخصصة لتعمل بشكل صحيح مع الطلبات المعترضة بناءً على قواعد المطابقة والاستبدال.
• تحسين الكود المصدر بشكل أكبر.
• تنفيذ دعم الاختبار الموثّق (عبر مفاتيح API المقدمة من المستخدم).
• تحسين عمود بإضافة نوع المعلمات (مثل ، ).

انظر TODO للمهام الإضافية المعلقة.

معلومات المشروع

في يوليو 2016، بعد نشر طلب تحسين على منتدى دعم PortSwigger، قررت أخذ المبادرة وتنفيذ الحل بنفسي.

الامتداد لا يزال قيد التطوير، وبالتالي فإن التعليقات والملاحظات والمساهمات موضع تقدير كبير.

الرعاية 💖

إذا كان هذا الامتداد قد وفر لك الوقت والجهد أثناء التقييم الأمني، فكر في إظهار بعض الحب برعاية فنجان قهوة ☕ للمطور. إنه الوقود الذي يغذي التطوير، بعد كل شيء. فقط اضغط على زر Sponsor في أعلى الصفحة أو انقر هنا للمساهمة والحفاظ على تدفق الكافيين. 💸

الإبلاغ عن المشكلات

هل وجدت خطأ؟ حسناً، لا تدعه يتجول! دعنا نسحقه معاً كصيادي الأخطاء! 🐛💪

يرجى الإبلاغ عن أي مشكلات على متعقب المشكلات في GitHub. معًا، سنجعل هذا الامتداد موثوقًا مثل صرصور ينجو من كارثة نووية! 🚀

المساهمة

هل تتطلع إلى إحداث تأثير بمهاراتك البرمجية الرائعة؟ 💻

رائع! المساهمات مرحب بها ومقدرة للغاية. يرجى إرسال جميع طلبات السحب على متعقب طلبات السحب في GitHub. معًا يمكننا جعل هذا الامتداد أكثر روعة! 🚀

الترخيص

انظر LICENSE.