apidetector

APIDetector هي أداة قوية وفعالة مصممة لاختبار نقاط نهاية Swagger المكشوفة في نطاقات فرعية متعددة، مع قدرات ذكية فريدة لاكتشاف النتائج الإيجابية الكاذبة. وهي مفيدة بشكل خاص لمحترفي الأمان والمطورين المشاركين في اختبار API وفحص الثغرات الأمنية.

تم تقديمها في BlackHat Arsenal 2024 (الرابط)

تاريخ الإصدارات

الجديد في الإصدار 3 (الحالي)

• واجهة ويب حديثة: واجهة سهلة الاستخدام لفحص نقاط نهاية API بسهولة
• نتائج فورية: تحديثات مباشرة لنقاط النهاية والثغرات المكتشفة
• لوحة تحكم تفاعلية: واجهة نظيفة وسريعة الاستجابة باستخدام Tailwind CSS و Alpine.js
• دعم رفع الملفات: فحص نطاقات/نطاقات فرعية متعددة دفعة واحدة عن طريق رفع ملف نصي
• التحقق من صحة النطاقات: التحقق من الإدخال باستخدام مطابقة الأنماط regex
• إعدادات مرنة: نموذج سهل الاستخدام لإعدادات الفحص مع تحسين الإعدادات الافتراضية
• نتائج مرئية: تحسين عرض نتائج الفحص و PoCs
• إدارة لقطات الشاشة: التقاط وعرض لقطات شاشة لنقاط النهاية الضعيفة تلقائياً (لقطة واحدة لكل نطاق فرعي)
• توليد PoC مستهدف: توليد إثبات المفهوم فقط لنقاط النهاية /swagger-ui/index.html
• تصميم متجاوب: محسّن لجميع أحجام الشاشات من الجوال إلى سطح المكتب
• معالجة الأخطاء: تحسين التغذية الراجعة وتسجيل الأخطاء
• تحسينات إمكانية الوصول: تحسين التنقل بلوحة المفاتيح ودعم قارئ الشاشة

ميزات الإصدار 2

• الكشف التلقائي عن XSS: تحديد إصدارات Swagger الضعيفة
• توليد PoC مرئي: إنشاء إثباتات مفهوم للثغرات
• تحسين معالجة الأخطاء: تغذية راجعة وتسجيل أفضل
• تحسين الأداء: خوارزميات فحص محسّنة

الميزات الأساسية

• إدخال مرن: قبول نطاقات فردية أو قوائم من النطاقات الفرعية
• بروتوكولات متعددة: اختبار نقاط النهاية عبر كل من HTTP و HTTPS
• التزامن: فحص متعدد الخيوط لنتائج أسرع
• كشف ذكي: قدرات متقدمة لاكتشاف النتائج الإيجابية الكاذبة
• إعدادات قابلة للتخصيص: تكوين عدد الخيوط، وكيل المستخدم، والمزيد

المتطلبات

يتطلب APIDetector v3 Python 3.x والحزم التالية:

flask         # إطار الويب
requests      # عميل HTTP
playwright    # أتمتة المتصفح للقطات الشاشة
nest_asyncio  # دعم الإدخال/الإخراج غير المتزامن

جميع التبعيات مدرجة في requirements.txt ويمكن تثبيتها تلقائياً أثناء الإعداد.

الإعداد لأول مرة

بعد تثبيت الحزم المطلوبة، تحتاج إلى تثبيت متصفحات Playwright:

python -m playwright install

هذا مطلوب لكي تعمل وظيفة لقطة الشاشة بشكل صحيح.

البدء

المتطلبات الأساسية

• Python 3.x (تنزيل)
• pip (مثبت حزم Python)
• Git (لاستنساخ المستودع)

التثبيت

1. استنساخ المستودع:

git clone https://github.com/brinhosa/apidetector.git
cd apidetector

2. إنشاء وتفعيل بيئة افتراضية:

# على macOS/Linux:
python3 -m venv venv
source venv/bin/activate

# على Windows:
python -m venv venv
venv\Scripts\activate

3. تثبيت التبعيات:

pip install -r requirements.txt

4. تثبيت أتمتة المتصفح:

playwright install

واجهة الويب (الإصدار 3)

1. تشغيل خادم الويب:

python app.py

2. بشكل افتراضي، يعمل الخادم على http://127.0.0.1:5000. يمكنك تحديد منفذ أو مضيف مختلف:

python app.py --port 8080 --host 0.0.0.0

3. افتح متصفحك وانتقل إلى عنوان URL المعروض في الطرفية.

4. استخدام واجهة الويب:

   • أدخل نطاقاً واحداً أو حمّل ملفاً يحتوي على نطاقات متعددة (نطاق واحد في كل سطر)
   • قم بتكوين خيارات الفحص (عدد الخيوط، الوضع المختلط، وكيل المستخدم)
   • انقر فوق 'بدء الفحص' للبدء
   • عرض النتائج في الوقت الفعلي أثناء ظهورها
   • سيتم عرض لقطات شاشة لنقاط النهاية الضعيفة تلقائياً

5. يتم حفظ لقطات الشاشة في مجلد screenshots للرجوع إليها لاحقاً.

الاستخدام

يقدم APIDetector v3 طريقتين للتفاعل مع الأداة: واجهة ويب حديثة (جديد في v3) وواجهة سطر أوامر تقليدية (أصلية).

واجهة الويب

1. تشغيل خادم الويب:

python app.py [options]

الخيارات المتاحة:

الخيار	الوصف	الافتراضي
-p, --port	رقم المنفذ	5000
--host	عنوان المضيف	127.0.0.1
-d, --debug	تفعيل وضع التصحيح	False

أمثلة:

# التشغيل بالإعدادات الافتراضية (localhost:5000)
python app.py

# التشغيل على منفذ مخصص
python app.py -p 8080

# السماح بالوصول الخارجي
python app.py --host 0.0.0.0

# التشغيل في وضع التصحيح
python app.py -d

2. الوصول إلى واجهة الويب:

   • افتح متصفحك وانتقل إلى عنوان URL المعروض
   • أدخل النطاق الهدف أو حمّل ملفاً يحتوي على نطاقات متعددة (نطاق واحد في كل سطر)
   • قم بتكوين خيارات الفحص:
     • وضع HTTP/HTTPS
     • عدد الخيوط (الافتراضي: 10)
     • وكيل مستخدم مخصص
   • انقر فوق "بدء الفحص"

3. عرض النتائج:

   • يتم عرض نقاط نهاية API المكتشفة في الوقت الفعلي مع تتبع التقدم
   • يتم اختبار نقاط النهاية الضعيفة تلقائياً
   • يتم إنشاء لقطات شاشة PoC للثغرات المؤكدة
   • يمكن عرض النتائج بينما لا يزال الفحص قيد التقدم

واجهة سطر الأوامر

تشغيل APIDetector باستخدام سطر الأوامر. فيما يلي بعض الأمثلة على الاستخدام:

• الاستخدام الشائع، فحص بقائمة من النطاقات الفرعية باستخدام 30 خيطاً ووكيل مستخدم Chrome وحفظ النتائج في ملف:

  python apidetector.py -i list_of_company_subdomains.txt -o results_file.txt -t 30 -ua "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/90.0.4430.212 Safari/537.36"
  

• لفحص نطاق واحد:

  python apidetector.py -d example.com
  

• لفحص نطاقات متعددة من ملف:

  python apidetector.py -i input_file.txt
  

• لتحديد ملف الإخراج:

  python apidetector.py -i input_file.txt -o output_file.txt
  

• لاستخدام عدد محدد من الخيوط:

  python apidetector.py -i input_file.txt -t 20
  

• للفحص باستخدام بروتوكولي HTTP و HTTPS معاً:

  python apidetector.py -m -d example.com
  

• لتشغيل البرنامج النصي في الوضع الصامت (إخفاء المخرجات التفصيلية):

  python apidetector.py -q -d example.com
  

• لتشغيل البرنامج النصي مع وكيل مستخدم مخصص:

  python apidetector.py -d example.com -ua "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/90.0.4430.212 Safari/537.36"
  

إذا كنت تستخدم APIDetector v2، استبدل الأوامر بـ apidetectorv2.py.

الخيارات

• -d, --domain: نطاق واحد للاختبار.
• -i, --input: ملف إدخال يحتوي على نطاقات فرعية للاختبار.
• -o, --output: ملف إخراج لكتابة عناوين URL الصالحة إليه.
• -t, --threads: عدد الخيوط المستخدمة للفحص (الافتراضي هو 10).
• -m, --mixed-mode: اختبار بروتوكولات HTTP و HTTPS معاً.
• -q, --quiet: تعطيل المخرجات التفصيلية (الوضع الافتراضي هو مفصّل).
• -ua, --user-agent: سلسلة وكيل مستخدم مخصصة للطلبات.

تفاصيل المخاطر لكل نقطة نهاية يكتشفها APIDetector

يمكن أن يشكل كشف نقاط نهاية توثيق Swagger أو OpenAPI مخاطر مختلفة، تتعلق بشكل أساسي بكشف المعلومات. فيما يلي قائمة مرتبة بناءً على مستويات المخاطر المحتملة، مع تجميع نقاط النهاية المتشابهة معاً التي يفحصها APIDetector:

1. نقاط نهاية عالية الخطورة (توثيق API مباشر):

• نقاط النهاية:
  • '/swagger-ui.html', '/swagger-ui/', '/swagger-ui/index.html', '/api/swagger-ui.html', '/documentation/swagger-ui.html', '/swagger/index.html', '/api/docs', '/docs', '/api/swagger-ui', '/documentation/swagger-ui'
• المخاطرة:
  • تخدم نقاط النهاية هذه عادةً واجهة Swagger UI، التي توفر نظرة عامة كاملة على جميع نقاط نهاية API، بما في ذلك تنسيقات الطلبات، ومعاملات الاستعلام، وأحياناً أمثلة على الطلبات والاستجابات.
  • مستوى المخاطرة: عالي. كشف هذه النقاط يعطي المهاجمين المحتملين رؤى مفصلة حول بنية API ونقاط الهجوم المحتملة.