OWASP OFFAT

OFFensive Api Tester — test di sicurezza delle API consapevole del codice sorgente.
Mappa la tua API dal codice, dimostra i percorsi source→sink su un grafo del codice, esegue i test con un motore Rust e analizza i risultati con l'IA.

Documentazione · Installazione · Utilizzo · GitHub Action

---

Solo per uso autorizzato. Le esecuzioni live inviano richieste reali al target verso cui punti OFFAT e richiedono un esplicito --yes. Testa solo sistemi e codice che possiedi o che sei autorizzato a valutare.

Cosa fa

map -> code graph -> threat model -> test-gen -> execute (Rust) -> triage (AI) -> report

• Mappa la superficie d'attacco direttamente dal sorgente (route tramite decoratori, router, specifiche OpenAPI/Swagger) in un unico file canonico Bundle.
• Dimostra i flussi di dati source-to-sink su un code property graph (Python, JS/TS) e collega ogni finding alla route HTTP che lo raggiunge.
• Esegue il piano di test con un motore Rust su HTTP/1.1, HTTP/2, WebSocket e gRPC (HTTP/3 + QUIC opt-in), con controlli differenziali consapevoli dell'identità per BOLA / BFLA.
• Analizza con un triager IA disciplinato sul consumo di token (con cache, in batch, a livelli di modello) o con un'euristica offline deterministica.
• Report in formato SARIF 2.1.0 (con code flow), Markdown, HTML, un report di conformità OWASP API Top 10 e JUnit.

Avvio rapido

git clone https://github.com/OWASP/OFFAT.git && cd OFFAT
pip install ./bundle ./triager './whitebox[graph]' ./graybox ./platform ./reporter
make engine                                   # Rust engine, only for live runs

# source-only: no traffic is sent
offat-platform run /path/to/repo -o app.offat.json --report-dir reports

# live, against a target you are authorized to test
offat-platform run /path/to/repo --url https://api.your-authorized-target.test \
  --identities examples/identities.example.json --yes -o app.offat.json --fail-on high

Modalità solo sorgente:

offat-whitebox /path/to/repo          # code-graph SAST + AI triage
offat-graybox  /path/to/repo          # SAST prioritized by endpoint reachability

Oppure usa il container: docker build -t offat -f docker/Dockerfile .

Struttura del repository

Percorso	Cosa
bundle/	il contratto Bundle (schema, IO, validazione)
platform/	offat-platform: map, PRG, threat model, test-gen, triage
engine-rs/	offat-engine: motore di esecuzione Rust
whitebox/	offat-whitebox: motore di taint analysis sul grafo del codice + pipeline SAST
graybox/	offat-graybox: SAST fuso con la raggiungibilità degli endpoint
triager/	triager IA / euristico condiviso
reporter/	report SARIF, Markdown, HTML, di conformità
viz/	visualizzatore statico del Bundle
docs/	sorgenti del sito di documentazione

La classica CLI Python solo-spec (pip install offat, src/) è stata ritirata in favore della platform. La sua ultima release rimane su PyPI.

Contribuire

Vedi CONTRIBUTING.md. Issue e pull request sono benvenute.

Licenza

OWASP OFFAT è distribuito sotto MIT License.