REST-Attacker

REST-Attacker ist ein automatisiertes Penetrationstest-Framework für APIs, die dem REST-Architekturstil folgen. Der Schwerpunkt des Tools liegt auf der Optimierung der Analyse generischer REST-API-Implementierungen durch vollständige Automatisierung des Testprozesses – einschließlich Testgenerierung, Zugriffskontrollverwaltung und Berichterstellung – bei minimalem Konfigurationsaufwand. Darüber hinaus ist REST-Attacker flexibel und erweiterbar ausgelegt und unterstützt sowohl großflächige Tests als auch detaillierte Analysen.

REST-Attacker wird vom Lehrstuhl für Netz- und Datensicherheit der Ruhr-Universität Bochum betrieben.

Features

REST-Attacker bietet derzeit diese Funktionen:

• Automatisierte Generierung von Tests
  • Nutzen einer OpenAPI-Beschreibung zur automatischen Generierung von Testläufen
  • 32 integrierte Sicherheitstests basierend auf OWASP und anderen wissenschaftlichen Beiträgen
  • Integrierte Erstellung von Sicherheitsberichten
• Optimierte API-Kommunikation
  • Benutzerdefiniertes Anfrage-Interface für den REST-Sicherheitsanwendungsfall (basiert auf dem Python3 requests-Modul)
  • Kommunizieren Sie mit jeder generischen REST-API
• Verwaltung der Zugriffskontrolle
  • Hintergrundauthentifizierung/-autorisierung mit der API
  • Unterstützung der gängigsten Zugriffskontrollmechanismen: OAuth2, HTTP Basic Auth, API-Schlüssel und mehr
• Einfach zu bedienen und zu erweitern
  • Als eigenständiges (CLI) Tool oder als Modul nutzbar
  • Passen Sie Testläufe mit umfangreichen Konfigurationsoptionen an spezifische APIs an
  • Erstellen Sie benutzerdefinierte Testfälle oder Zugriffskontrollschemata mit den Schnittstellen des Tools

Install

Laden Sie das Tool herunter oder klonen Sie das Repository:

git clone https://github.com/RUB-NDS/REST-Attacker.git

Sie benötigen Python >3.10, um das Tool auszuführen.

Sie müssen außerdem die folgenden Pakete mit pip installieren:

python3 -m pip install -r requirements.txt

Quickstart

Hier finden Sie eine kurze Übersicht über die gebräuchlichsten und nützlichsten Befehle. Weitere Informationen zu den einzelnen Befehlen und anderen verfügbaren Konfigurationsoptionen finden Sie in unseren Nutzungshandbüchern.

Rufen Sie die Liste der unterstützten Testfälle ab:

python3 -m rest_attacker --list

Einfacher Testlauf (mit Testfallgenerierung zur Ladezeit):

python3 -m rest_attacker <cfg-dir-or-openapi-file> --generate

Vollständiger Testlauf (mit Testfallgenerierung zur Ladezeit und Laufzeit + Behandlung von Ratenbegrenzungen):

python3 -m rest_attacker <cfg-dir-or-openapi-file> --generate --propose --handle-limits

Testlauf mit nur ausgewählten Testfällen (generiert nur Testfälle für die Testfälle scopes.TestTokenRequestScopeOmit und resources.FindSecurityParameters):

python3 -m rest_attacker <cfg-dir-or-openapi-file> --generate --test-cases scopes.TestTokenRequestScopeOmit resources.FindSecurityParameters

Führen Sie einen Testlauf aus einem Bericht erneut aus:

python3 -m rest_attacker <cfg-dir-or-openapi-file> --run /path/to/report.json

Documentation

Nutzungshandbücher und Dokumentation zum Konfigurationsformat finden Sie in den Dokumentations-Unterordnern.

Troubleshooting

Behebungen/Abhilfen für bekannte Probleme mit dem Tool finden Sie in der Fehlerbehebungsdokumentation oder im Issues-Bereich.

Contributing

Beiträge jeder Art sind willkommen! Wenn Sie einen Fehler gefunden haben oder einen Vorschlag oder eine Feature-Anfrage einreichen möchten, können Sie jederzeit ein neues Issue im Issue-Tracker erstellen. Sie können auch Korrekturen oder Code-Änderungen über einen Pull Request einreichen.

Leider sind wir manchmal sehr beschäftigt, sodass es eine Weile dauern kann, bis wir auf Kommentare in diesem Repository antworten.

License

Dieses Projekt ist unter GNU LGPLv3 oder neuer (LGPL3+) lizenziert. Siehe COPYING für den vollständigen Lizenztext und CONTRIBUTORS.md für die Liste der Autoren.