vAPI

vAPI è un'Interfaccia Programmata Avversariamente Vulnerabile, un'API auto-hostabile che simula gli scenari OWASP API Top 10 sotto forma di esercizi.

Requisiti

• PHP
• MySQL
• PostMan
• MITM Proxy

Installazione (Docker)

docker-compose up -d

Installazione (Manuale)

Copia del codice

cd <your-hosting-directory>

git clone https://github.com/roottusk/vapi.git

Configurazione del database

Importa vapi.sql nel database MySQL

Configura le credenziali del database in vapi/.env

Avvio del servizio MySQL

Esegui il seguente comando (Linux)

service mysqld start

Avvio del server Laravel

Vai alla directory vapi ed esegui

php artisan serve

Configurazione di Postman

• Importa vAPI.postman_collection.json in Postman
• Importa vAPI_ENV.postman_environment.json in Postman

OPPURE

Usa il workspace pubblico

https://www.postman.com/roottusk/workspace/vapi/

Utilizzo

Naviga su http://localhost/vapi/ per la documentazione

Dopo aver inviato richieste, consulta i test di Postman o l'ambiente per i token generati

Distribuzione

Helm può essere utilizzato per distribuire in un namespace Kubernetes. Il chart si trova nella cartella vapi-chart. Il chart richiede un segreto chiamato vapi con i seguenti valori:

DB_PASSWORD: <password del database da utilizzare>
DB_USERNAME: <nome utente del database da utilizzare>

Comando di esempio per l'installazione con Helm: helm upgrade --install vapi ./vapi-chart --values=./vapi-chart/values.yaml

*** Importante ***

La variabile MYSQL_ROOT_PASSWORD alla riga 232 nel file values.yaml deve corrispondere a quella alla riga 184 affinché funzioni.

Presentato a

OWASP 20th Anniversary

Blackhat Europe 2021 Arsenal

HITB Cyberweek 2021, Abu Dhabi, UAE

@Hack, Riyadh, KSA

Prossimamente

APISecure.co

Citazioni e riferimenti

[1] https://apisecurity.io/issue-132-experian-api-leak-breaches-digitalocean-geico-burp-plugins-vapi-lab/

[2] https://dsopas.github.io/MindAPI/references/

[3] https://dzone.com/articles/api-security-weekly-issue-132

[4] https://owasp.org/www-project-vulnerable-web-applications-directory/

[5] https://github.com/arainho/awesome-api-security

[6] https://portswigger.net/daily-swig/introducing-vapi-an-open-source-lab-environment-to-learn-about-api-security

[7] https://apisecurity.io/issue-169-insecure-api-wordpress-plugin-tesla-3rd-party-vulnerability-introducing-vapi/

Walkthrough/Writeup/Video

[1] https://cyc0rpion.medium.com/exploiting-owasp-top-10-api-vulnerabilities-fb9d4b1dd471 (vAPI 1.0 Writeup)

[2] https://www.youtube.com/watch?v=0F5opL_c5-4&list=PLT1Gj1RmR7vqHK60qS5bpNUeivz4yhmbS (Lingua turca) (vAPI 1.1 Walkthrough)

[3] https://medium.com/@jyotiagarwal3190/roottusk-vapi-writeup-341ec99879c (vAPI 1.1 Writeup)

Riconoscimenti

• L'icona e il banner utilizzano immagini da Flaticon