Tiredful-API

Tiredful APIとは？

Tiredful APIは、意図的に脆弱に設計されたアプリケーションです。このWebアプリケーションの目的は、開発者、QA、セキュリティ専門家に対して、安全でないコーディング慣行に起因するWebサービス（REST API）の欠陥を教えることです。

Tiredful APIを使用できる人

• Web開発者
• Webペネトレーションテスター
• セキュリティ専門家
• 学生

Tiredful APIに含まれるもの

私はほとんどの脆弱性をカバーしようとしましたが、いくつかの脆弱性を見逃していることは確かです。もし含めるべき良い脆弱性をご存知でしたら、お知らせください。現在は以下の脆弱性を含めています。

• 情報漏洩
• 安全でないダイレクトオブジェクト参照
• アクセス制御
• スロットリング
• SQLインジェクション（SQLite）
• クロスサイトスクリプティング

解決策はこちらで確認できます

貢献できますか？

はい、将来のバージョンのTiredful APIに実装できる脆弱性の詳細を送っていただくことで貢献できます。件名を「Tiredful API Scenario」として、info[at]payatu.comまでメールでお送りください。

Tiredful APIはどこで入手できますか？

ソースはリンクからダウンロードできます。

Tiredful APIの実行方法

Tiredful APIはDjango FrameworkとDjango Rest Frameworkを使用して開発されているため、Webサーバーを実行するには以下のコマンドを実行する必要があります。

• ソースフォルダに移動し、manage.pyファイルを見つけます。
• 次にpython manage.py runserverを実行します。
• 静的ファイルが読み込まれない場合は、安全でないフラグを付けて上記コマンドを実行します。すなわちpython manage.py runserver --insecure Webサーバーの起動中に問題が発生した場合は、django管理ドキュメントまたはdjangoチュートリアルドキュメントを参照してください。それでも開発サーバーを起動できない場合は、お知らせください。

注： requirements.txtで指定されたバージョンの必要なライブラリを使用することを推奨します。詳細はこちらを参照してください。

Dockerコンテナ

Dockerを使用してTiredfulを実行することもできます。以下のコマンドを実行するだけです。

docker build -t tiredful .
docker run -p 8000:8000 --name tiredful -it tiredful

ブラウザでhttp://localhost:8000/にアクセスすれば準備完了です。CTRL-Cでサーバーを停止します。

新しいJWTベースのシナリオが追加されました。更新されたリポジトリはこちらから入手可能です。

Python3互換コード

Tiredful API Python3

フィードバックとバグ報告

Tiredful APIの使用感についてのご意見をお聞かせください。件名を「Tiredful API Issue」として、info [at] payatu [dot] com または siddharth [dot] bezalwar [at] gmail [dot] com までメールでお送りください。メールには以下の情報を含めてください。

• オペレーティングシステムとバージョン
• 使用しているDjango Frameworkのバージョン
• 問題を再現する手順

作者

Siddharth Bezalwar

@fattu_medjai | siddharth [dot] bezalwar [at] gmail [dot] com

Payatuについて

Payatuは以下の専門分野に特化したブティックセキュリティテスト会社です。

• IoTセキュリティ
• モバイルセキュリティ
• クラウドセキュリティ
• Webセキュリティ

また、2つの国際セキュリティカンファレンスを主催しています。

nullcon国際セキュリティカンファレンス - http://nullcon.net hardwear.ioハードウェアセキュリティカンファレンス - http://hardwear.io ウェブサイト: http://payatu.com メール: info (at) payatu dot com