owasp/offatOpenAPI仕様からテストを生成し、入力をファジングし、SQLi、BOLA、壊れたアクセス制御を含むOWASP API Top 10の脆弱性をチェックする自動化されたAPIセキュリティテストツール。
OFFensive Api Tester — ソースを考慮したAPIセキュリティテスト。
コードからAPIをマッピングし、コードグラフ上でソース→シンクの経路を証明し、Rustエンジンでテストを実行し、
AIで結果をトリアージします。
ドキュメント · インストール · 使い方 · GitHub Action
許可された用途に限ります。 ライブ実行は、OFFATの対象として指定したターゲットに実際のリクエストを送信し、 明示的な
--yesを必要とします。所有している、または評価を許可されているシステムとコードのみをテストしてください。
map -> code graph -> threat model -> test-gen -> execute (Rust) -> triage (AI) -> report
git clone https://github.com/OWASP/OFFAT.git && cd OFFAT
pip install ./bundle ./triager './whitebox[graph]' ./graybox ./platform ./reporter
make engine # Rust engine, only for live runs
# source-only: no traffic is sent
offat-platform run /path/to/repo -o app.offat.json --report-dir reports
# live, against a target you are authorized to test
offat-platform run /path/to/repo --url https://api.your-authorized-target.test \
--identities examples/identities.example.json --yes -o app.offat.json --fail-on high
ソースのみのモード:
offat-whitebox /path/to/repo # code-graph SAST + AI triage
offat-graybox /path/to/repo # SAST prioritized by endpoint reachability
またはコンテナを使用します: docker build -t offat -f docker/Dockerfile .
| パス | 内容 |
|---|---|
bundle/ | Bundleコントラクト（スキーマ、IO、バリデーション） |
platform/ | offat-platform: マップ、PRG、脅威モデル、テスト生成、トリアージ |
engine-rs/ | offat-engine: Rust実行エンジン |
whitebox/ | offat-whitebox: コードグラフテイントエンジン + SASTパイプライン |
graybox/ | offat-graybox: エンドポイント到達性と融合したSAST |
triager/ | 共有AI / ヒューリスティックトリアージャー |
reporter/ | SARIF、Markdown、HTML、コンプライアンスレポート |
viz/ | 静的Bundleビジュアライザー |
docs/ | ドキュメントサイトのソース |
従来のスペックのみのPython CLI（
pip install offat、src/）は、プラットフォームに置き換えられ 廃止されました。最後のリリースはPyPIに残っています。
CONTRIBUTING.mdを参照してください。Issueとプルリクエストを歓迎します。
OWASP OFFATはMIT Licenseの下で配布されています。