API-SPY 🕵️👻

Ein leistungsstarkes Directory-Brute-Force-Tool, entwickelt für API-Erkundung und Penetrationstests. Es entdeckt automatisch versteckte API-Endpunkte, führt rekursives Subscanning durch und testet HTTP-Methoden für eine tiefere API-Erfassung.

Funktionen

✨ Hauptfunktionen:

🎯 Schnelle Endpunkt-Erkennung mittels Wordlist-basiertem Brute-Forcing
🔄 Automatisches rekursives Subscanning entdeckter Endpunkte
🔍 HTTP-Methoden-Test (GET, POST, PUT, DELETE, PATCH, OPTIONS)
⚡ Multithread-Scanning für verbesserte Leistung
📊 Intelligente Statuscode-Behandlung (200, 401, 403)
🔗 Interaktive Aufforderungen für selektives Subscanning und Methodentest
🕷️ JavaScript-Scraping nach gängigen /api/-Endpunkten
🪟 Terminal-Multiplexing-Unterstützung (tmux) für parallele Vorgänge
⏱️ Auto-Überspringen von Aufforderungen mit konfigurierbarem Timeout

Installation

Voraussetzungen

Python 3.6+
requests-Bibliothek
tmux (optional, für --split-Flag)
xfce-terminal (für Linux-Desktop-Umgebungen)

Einrichtung

# Repository klonen
git clone https://github.com/austinjump-sec/API-SPY.git
cd API-SPY

# Abhängigkeiten installieren
pip install requests

# Skripte ausführbar machen (optional)
chmod +x apispy.py apiprobe.py

Verwendung

Grundlegende Syntax

python3 apispy.py <baseUrl> <wordlist> [OPTIONEN]

Erforderliche Argumente

Argument	Beschreibung
`<baseUrl>`	Ziel-URL (z.B. `http://example.com` oder `http://api.example.com`)
`<wordlist>`	Pfad zur Wordlist-Datei mit Endpunkten (einer pro Zeile)

Optionale Argumente

Argument	Beschreibung
`--t<number>`	Thread-Anzahl (max. 150, Standard: 1)
`--split`	tmux split-window anstelle neuer Terminalfenster verwenden
`--debug`	Zeigt sonst verborgene Fehlermeldungen an
`--loud`	Zeigt alle Meldungen, positive und Fehler, und hebt solche hervor, die nicht 404 zurückgeben
`--js`	Durchsucht JavaScript-Dateien und extrahiert aus gefundenen Dateien gängige hartcodierte API-Endpunkte

Beispiele

Einfacher Scan mit Standardeinstellungen (single-threaded)

python3 apispy.py http://api.example.com wordlist.txt

Multithread-Scan mit 10 Threads

python3 apispy.py http://api.example.com wordlist.txt -t10

tmux für parallele Vorgänge verwenden

python3 apispy.py http://api.example.com wordlist.txt -t5 --split

Spezifische URL mit höherer Thread-Anzahl subscannen

python3 apispy.py http://api.example.com/v1 wordlist.txt -t20

Funktionsweise

Phase 1: Testen allgemeiner API-Endpunkte

Das Tool beginnt mit dem Testen eines vordefinierten Satzes gängiger API-Pfade:

api, v1, v2, api/v1, api/v2, graphql, rest

Phase 2: Wordlist-Brute-Force

Lädt Endpunkte aus Ihrer Wordlist (ignoriert Kommentare, die mit # beginnen)
Testet jeden Endpunkt mit HTTP-GET-Anfragen
Multithread-Ausführung für schnelleres Scannen
Identifiziert antwortende Endpunkte mit den Statuscodes: 200, 401, 403

Phase 3: Interaktives Subscanning (optional)

Wenn ein Endpunkt gefunden wird, werden Sie gefragt:

'-> Subscan <url>? (j/n) [Auto-Überspringen in 5s]:

Wählen Sie j/yes, um diesen Endpunkt rekursiv mit derselben Wordlist zu scannen
Startet automatisch in einem neuen Terminal oder tmux split-window
Überspringt automatisch nach 5 Sekunden, wenn keine Eingabe erfolgt

Phase 4: HTTP-Methoden-Test (optional)

Nach dem Subscanning werden Sie gefragt:

'-> Methoden testen auf <url>? (j/n) [Auto-Überspringen in 5s]:

Startet apiprobe.py, das HTTP-Methoden auf dem entdeckten Endpunkt testet
Getestet werden: GET, POST, PUT, DELETE, PATCH, OPTIONS
Farbcodierte Ausgabe (grün für 200, gelb für authentifizierungsbezogene Fehler)
Zeigt Antwortgrößen und Hinweise aus dem Allow-Header

Ausgabeinterpretation

API-SPY Hauptskript

[+] Url gefunden: http://api.example.com/v1            ← 200 OK (zugänglich)
    '-> Subscan http://api.example.com/v1? (j/n) [Auto-Überspringen in 0s]: 
[-] Timeout: Aufforderung für http://api.example.com/v1? übersprungen
    '-> Methoden testen auf http://api.example.com/v1? (j/n) [Auto-Überspringen in 4s]: 
[-] Url gefunden, aber nicht erlaubt (403 ERR): ...      ← Verboten, existiert aber
[-] Url gefunden, aber nicht erlaubt (401 ERR): ...      ← Erfordert Authentifizierung

API-Probe-Skript

[+] GET     -> STATUS: 200 OK (Größe: 1024)
[-] POST    -> STATUS: 405 (Größe: 0)
[Header-Hinweis] Allow: GET, HEAD, OPTIONS

Wordlist-Format

Erstellen Sie eine einfache Textdatei mit Endpunkten (einer pro Zeile):

admin
users
api/users
v1/products
v2/customers
/api/v1/auth
/graphql
search
data
config

Hinweis: Zeilen, die mit # beginnen, werden als Kommentare behandelt und ignoriert.

Empfohlene Wordlists

Beliebte API-Wordlists zur Verwendung mit API-SPY:

Leistungstipps

Thread-Anzahl-Richtlinien

1-5 Threads: Konservativ, geringeres Erkennungsrisiko, langsamer
5-20 Threads: Ausgewogene Leistung und Tarnung
20-50 Threads: Aggressives Scannen, schnellere Ergebnisse
50-150 Threads: Maximale Geschwindigkeit (kann WAF/IDS auslösen)

# Stealth-Modus (niedrige Threads)
python3 apispy.py http://target.com wordlist.txt -t3

# Ausgewogener Modus
python3 apispy.py http://target.com wordlist.txt -t15

# Aggressiver Modus
python3 apispy.py http://target.com wordlist.txt -t50

Timeout-Verhalten

Interaktive Aufforderungen werden automatisch nach 5 Sekunden übersprungen
Nützlich für unbeaufsichtigtes Scannen großer Ziellisten
Ändern Sie timeout=5 im Quellcode zur Anpassung

Fehlerbehebung

"Wordlist not found"

Stellen Sie sicher, dass der Wordlist-Pfad korrekt und die Datei vorhanden ist:

ls -la /pfad/zur/wordlist.txt

Skript falsch benannt - Fehler

Stellen Sie beim Subscanning sicher:

Hauptskript heißt: apispy.py
Probe-Skript heißt: apiprobe.py
Beide befinden sich im selben Verzeichnis

tmux split-window funktioniert nicht

Falls --split fehlschlägt:

Installieren Sie tmux: sudo apt install tmux
Stellen Sie sicher, dass Sie in einer tmux-Sitzung laufen: tmux new-session -s scan
Fällt automatisch auf xfce-terminal zurück

Beliebteste

API-SPY-API-PROBE

Über