Tiredful-API

Cos'è Tiredful API?

Tiredful API è un'app volutamente progettata per essere difettosa. Lo scopo di questa web app è insegnare a sviluppatori, QA o professionisti della sicurezza le vulnerabilità presenti nei servizi web (API REST) a causa di pratiche di codifica non sicure.

Chi può usare Tiredful API?

• Sviluppatori web
• Penetration tester web
• Professionisti della sicurezza
• Studenti

Cosa include Tiredful API?

Ho cercato di coprire la maggior parte delle vulnerabilità, ma sono certo che ne abbiamo perse alcune. Per favore contattami se conosci qualche vulnerabilità interessante che dovrebbe essere inclusa. Per ora ho incluso le seguenti vulnerabilità.

• Information Disclosure
• Insecure Direct Object Reference
• Access Control
• Throttling
• SQL Injection (SQLite)
• Cross Site Scripting.

Puoi vedere la soluzione qui

Posso contribuire?

Sì, puoi aiutarci inviandoci i dettagli delle vulnerabilità che possiamo implementare nelle versioni future di Tiredful API. Inviaci un'email a info[at]payatu.com con oggetto "Tiredful API Scenario".

Dove posso ottenere Tiredful API?

Il codice sorgente può essere scaricato da link.

Come eseguire Tiredful API?

Tiredful API è sviluppato usando Django Framework e Django Rest Framework, quindi per eseguire il server web l'utente deve eseguire il seguente comando.

• Naviga nella cartella del codice sorgente e individua il file manage.py.
• Quindi esegui python manage.py runserver.
• Se i file statici non vengono caricati, esegui il comando precedente con il flag insecure, cioè python manage.py runserver --insecure Se stai riscontrando problemi nell'avvio del server web, consulta la documentazione di Django per l'amministrazione o il tutorial di Django. Per favore contattami se ancora non riesci a eseguire il server di sviluppo.

Nota: Si consiglia di utilizzare le librerie richieste con la versione specificata in requirements.txt. Fare riferimento a questo per maggiori dettagli

Container Docker

Puoi eseguire Tiredful tramite Docker. Basta eseguire:

docker build -t tiredful .
docker run -p 8000:8000 --name tiredful -it tiredful

Naviga su http://localhost:8000/ e sei a posto. Usa CTRL-C per spegnere il server.

Aggiunti nuovi scenari basati su JWT. Repository aggiornato disponibile su repo

Codice compatibile con Python3

Tiredful API Python3

Feedback e segnalazione bug.

Ci piacerebbe ricevere il tuo feedback sulla tua esperienza con Tiredful API. Inviaci un'email a info [at] payatu [dot] com o siddharth [dot] bezalwar [at] gmail [dot] com con oggetto "Tiredful API Issue" in base a cosa vuoi condividere. Per favore includi quanto segue nella tua email.

• Sistema operativo con versione.
• Framework Django utilizzato.
• Passaggi per replicare il problema.

Autore

Siddharth Bezalwar

@fattu_medjai | siddharth [dot] bezalwar [at] gmail [dot] com

Informazioni su Payatu

Payatu è un'azienda di test di sicurezza boutique specializzata in:

• Sicurezza IoT
• Sicurezza mobile
• Sicurezza cloud
• Sicurezza web Organizziamo anche due conferenze internazionali sulla sicurezza

nullcon – Conferenza internazionale sulla sicurezza - http://nullcon.net hardwear.io Conferenza sulla sicurezza hardware - http://hardwear.io Sito web: http://payatu.com Email: info (at) payatu dot com