akabe1/oauthscanOAUTHv2 および OpenID のセキュリティを検証するのに役立つ Burp Suite 拡張機能
OAUTHScan は、OAUTHv2 および OpenID 標準を実装したアプリケーションのペネトレーションテスト中に役立つ、いくつかの自動セキュリティチェックを提供することを目的とした、Java で書かれた Burp Suite 拡張機能です。
このプラグインは、さまざまな OAUTHv2/OpenID の脆弱性と一般的な誤設定（両フレームワークの公式仕様に基づく）を探します。チェックの多くは、以下の参考文献に従って開発されています。
以下は、OAUTHScan が実行するチェックの非網羅的なリストです。
まず、この Github リポジトリから OAUTHScan プロジェクトをダウンロード/クローンしてください。 その後、以下の方法でビルドできます:
gradlew build fatJar;最後に、Burp の GUI の Extender タブを使用して、プロジェクトフォルダの "build/libs/" にある生成された 'OAUTHscan-X.Y.jar' ファイルをインポートします。 あるいは、公式の Burpsuite BApp-Store から直接 OAUTHScan プラグインを追加することもできます（注：最新ではない可能性があります）。
OAUTHScan は Burp Scanner と完全に統合されており、Burp にインストールした後は、対象のリクエストに対してパッシブスキャンまたはアクティブスキャンを起動するだけです。
あるいは、以下の手順で単一拡張機能スキャンとして実行することも可能です:
この Burp プラグインのチェックは、OAUTHv2 および OpenID の RFC に従って実装されています。 これらの標準を独自に実装したアプリケーションをテストする場合、誤検知が発生する可能性があります。 元の開発者の Github リポジトリにあるプラグインは、Portswigger リポジトリのものよりも最新である可能性があります。
OAUTHScan の現在のバージョンは v1.2 です。
Copyright (c) 2022 OAUTHScan
このプログラムはフリーソフトウェアです。あなたはこれを、フリーソフトウェア財団によって発行された GNU 一般公衆ライセンス（バージョン 3 か、それ以降のバージョンのうちどれか）の定める条件の下で再頒布または改変することができます。
このプログラムは有用であることを願って頒布されますが、まったくの無保証 です。商業可能性の保証や特定目的への適合性の保証は、明示的にも黙示的にも一切なされません。詳しくは GNU 一般公衆ライセンスをご覧ください。
あなたはこのプログラムと共に GNU 一般公衆ライセンスの写しを受け取っているはずです。受け取っていない場合は、http://www.gnu.org/licenses/ をご覧ください。