OWASP OFFAT

OWASP OFFAT (OFFensive Api Tester) مُصمَّم لاختبار واجهات API تلقائيًا بحثًا عن الثغرات الشائعة بعد توليد الاختبارات من ملف مواصفات openapi. يوفّر ميزة توليد مدخلات عشوائية (fuzz) تلقائيًا واستخدام مدخلات يوفّرها المستخدم أثناء الاختبارات المحددة عبر ملف إعدادات YAML.

عرض توضيحي

ملاحظة: يمثّل العمودان 'data_leak' و'result' في الجدول جوانب مستقلة. فمن الممكن أن يكون هناك تسريب بيانات في نقطة النهاية، ومع ذلك قد تظل نتيجة تلك النقطة مُعلَّمة بـ'Success'. وذلك لأن عمود 'result' لا يعكس بالضرورة النتيجة الإجمالية للاختبار؛ فقد يشير إلى النجاح حتى في وجود تسريب بيانات.

فحوصات الأمان

• طرق HTTP المقيّدة
• SQLi
• BOLA
• كشف البيانات
• BOPLA / Mass Assignment
• التحكم المعطوب في الوصول
• حقن الأوامر الأساسي
• اختبار أساسي لـ XSS/حقن HTML

الميزات

• عدد من فحوصات الأمان من OWASP API Top 10
• اختبار آلي
• اختبار قائم على إعدادات المستخدم
• API لأتمتة الاختبارات ودمج الأداة مع منصات/أدوات أخرى
• أداة CLI
• مشروع مُحزَّم في Docker لسهولة الاستخدام
• أداة مفتوحة المصدر بترخيص MIT

تجربة الأداة

• تثبيت الأداة باستخدام pip

python -m pip install offat

• تشغيل الأداة

offat -f swagger_file.json

• لمزيد من خيارات الاستخدام اقرأ README.md

OFFAT-AI (منصة تجريبية)

إلى جانب أداة offat الكلاسيكية أعلاه، يستضيف هذا المستودع الآن أيضًا OFFAT-AI، وهي منصة اختبار اختراق لواجهات API على مراحل وواعية بالمصدر (SAST بالصندوق الأبيض، وإمكانية الوصول بالصندوق الرمادي، ومحرّك تنفيذ بلغة Rust) مبنية حول ملف Bundle قانوني واحد. وهي إضافة لا تغيّر الأداة الحالية.

• نظرة عامة: OFFAT-AI.md
• وثائق المنصة: docs/platform.md و docs/architecture.md
• تشغيل خط الأنابيب بالكامل بأمر واحد: offat-platform run <source> --url <target> --yes