openapi-parser

[!UPDATE] Esta extensión ha sido actualizada para usar la última Burp Montoya Java API. La extensión ha sido completamente renovada para mejorar tanto su UI/UX como su rendimiento. Estos cambios aseguran que la extensión sea moderna y optimizada para su uso.

openapi-parser es una extensión de Burp Suite diseñada para pruebas de API basadas en OpenAPI

La Especificación OpenAPI (OAS) define una interfaz estándar, independiente del lenguaje de programación, para APIs REST, lo que permite tanto a humanos como a computadoras descubrir y comprender las capacidades de un servicio sin necesidad de acceder al código fuente, documentación adicional o inspeccionar el tráfico de red. Cuando se define correctamente mediante OpenAPI, un consumidor puede entender e interactuar con el servicio remoto con una cantidad mínima de lógica de implementación. Al igual que las descripciones de interfaces han hecho para la programación de bajo nivel, la Especificación OpenAPI elimina las suposiciones al invocar un servicio.

Los casos de uso para documentos de definición de API legibles por máquina incluyen, entre otros: documentación interactiva; generación de código para documentación, clientes y servidores; y automatización de casos de prueba. Los documentos OpenAPI describen los servicios de una API y se representan en formatos YAML o JSON. Estos documentos pueden generarse y servirse estáticamente o generarse dinámicamente desde una aplicación.

Realizar evaluaciones de seguridad de APIs basadas en OpenAPI puede ser una tarea tediosa debido a que Burp Suite (estándar de la industria) carece de capacidades nativas de análisis de OpenAPI. Una solución a esta situación es usar herramientas de terceros (por ejemplo, SOAP-UI) o implementar scripts personalizados (a menudo por compromiso) para manejar el análisis de documentos OpenAPI e integrar/encadenar los resultados a Burp Suite para usar sus capacidades de escaneo de primera clase.

openapi-parser es un analizador de OpenAPI que busca simplificar todo este proceso al permitir que los profesionales de seguridad utilicen Burp Suite como una herramienta independiente para la evaluación de seguridad de APIs basadas en OpenAPI.

Características

• Los documentos OpenAPI se pueden analizar desde un archivo suministrado o desde una URL. La extensión puede obtener documentos OpenAPI directamente desde una URL utilizando la función Send to Swagger Parser en el menú contextual Target -> Site map.
• Analiza documentos OpenAPI, anteriormente conocidos como la especificación Swagger, totalmente compatible con las Especificaciones OpenAPI 2.0/3.0 (OAS).
• Las solicitudes se pueden ver/editar directamente dentro de la extensión antes de enviarlas a otras herramientas de Burp.
• Las solicitudes se pueden enviar a las herramientas Comparer, Intruder, Organizer, Repeater, Scanner, y de Burp.

Requisitos

1. Requisitos del sistema

• Sistema operativo: Compatible con sistemas operativos Linux, macOS y Windows.

• Java Development Kit (JDK): Versión 11 o posterior.

• Burp Suite Professional o Community Edition: Versión 2023.11.1.3 o posterior.

  [!IMPORTANT] Tenga en cuenta que el uso de cualquier versión inferior a 2023.3.2 puede provocar un java.lang.NoSuchMethodError. Es crucial usar la versión especificada o una más reciente para evitar este problema.

2. Herramienta de compilación

• Gradle: Versión 8.5 o posterior (recomendado). El archivo build.gradle se proporciona en el repositorio del proyecto.

3. Variables de entorno

• Configure la variable de entorno JAVA_HOME para que apunte al directorio de instalación de JDK.

Asegúrese de cumplir con todos los requisitos del sistema, incluida una versión compatible de Burp Suite, antes de compilar y ejecutar el proyecto. Tenga en cuenta que las dependencias externas del proyecto serán gestionadas e instaladas automáticamente por Gradle durante el proceso de compilación. Cumplir con los requisitos ayudará a evitar posibles problemas y reducirá la necesidad de abrir nuevos problemas en el repositorio del proyecto.

Instalación

1. Compilación

1. Asegúrese de tener Gradle instalado y configurado.

2. Descargue el repositorio openapi-parser:

   root@kitploit:~

   git clone https://github.com/aress31/openapi-parser
   cd .\openapi-parser\
   

3. Compile el jar independiente:

   root@kitploit:~

   ./gradlew fatJar
   

2. Cargar la extensión en Burp Suite

Para instalar openapi-parser en Burp Suite, primero vaya a la pestaña Extensions y haga clic en el botón Add. Luego, seleccione el archivo openapi-parser-all jar ubicado en la carpeta .\build\libs para cargar la extensión.

Alternativamente, puede omitir el paso de Compilación por completo y descargar la extensión directamente desde BApp Store.

Nota: La versión distribuida en BApp Store podría estar desactualizada con respecto a la versión disponible en este repositorio.

Hoja de ruta

• Embellecer la interfaz gráfica de usuario.
• Análisis profundo de esquemas OpenAPI para recopilar todos los parámetros anidados junto con su ejemplo/tipo.
• Simplificación/refactorización del código.
  • Usar MyHttpRequest en lugar de RequestWithMetadata.
• Habilitar la edición de celdas para cambiar las llamadas API directamente desde la GUI.
• Corregir la pestaña personalizada del editor de solicitudes para que funcione correctamente con solicitudes interceptadas basadas en los conjuntos de reglas de coincidencia y reemplazo.
• Optimizar aún más el código fuente.
• Implementar soporte para pruebas autenticadas (mediante claves API proporcionadas por el usuario).

Consulte TODO para ver tareas adicionales pendientes.

Información del proyecto

En julio de 2016, después de publicar una solicitud de mejora en el foro de soporte de PortSwigger, decidí tomar la iniciativa e implementar yo mismo una solución.

La extensión aún está en desarrollo; por lo tanto, se agradecen mucho los comentarios, sugerencias y contribuciones.

Patrocinar 💖

Si esta extensión le ha ahorrado tiempo y esfuerzo durante una evaluación de seguridad, considere mostrar su apoyo patrocinando una taza de café ☕ para el desarrollador. Después de todo, es el combustible que impulsa el desarrollo. Simplemente presione el brillante botón Sponsor en la parte superior de la página o haga clic aquí para contribuir y mantener el flujo de cafeína. 💸

Informar de problemas

¿Encontró un error? Bueno, ¡no lo deje corretear! Vamos a aplastarlo juntos como un par de susurradores de errores. 🐛💪

Informe cualquier problema en el rastreador de problemas de GitHub. Juntos, haremos que esta extensión sea tan confiable como una cucaracha que sobrevive a un apocalipsis nuclear. 🚀

Contribuir

¿Quiere causar sensación con sus habilidades de codificación alucinantes? 💻

¡Genial! Las contribuciones son bienvenidas y muy apreciadas. Envíe todas las PRs en el rastreador de solicitudes de extracción de GitHub. Juntos podemos hacer que esta extensión sea aún más increíble. 🚀

Licencia

Consulte LICENSE.