OWASP OFFAT

OWASP OFFAT(공격적 API 테스터)은 openapi 명세 파일에서 테스트를 생성한 후 API의 일반적인 취약점을 자동으로 테스트하기 위해 만들어졌습니다. YAML 구성 파일을 통해 테스트 중 자동으로 입력을 퍼징하고 사용자가 제공한 입력을 사용하는 기능을 제공합니다.

데모

참고: 테이블에서 'data_leak' 및 'result' 열은 독립적인 측면을 나타냅니다. 엔드포인트에 데이터 유출이 있을 수 있지만 해당 엔드포인트의 결과는 여전히 'Success'로 표시될 수 있습니다. 이는 'result' 열이 반드시 전체 테스트 결과를 반영하는 것은 아니기 때문입니다. 데이터 유출이 있어도 성공을 나타낼 수 있습니다.

보안 검사

• 제한된 HTTP 메서드
• SQLi
• BOLA
• 데이터 노출
• BOPLA / 대량 할당
• 손상된 접근 제어
• 기본 명령 주입
• 기본 XSS/HTML 삽입 테스트

기능

• OWASP API Top 10의 몇 가지 보안 검사
• 자동화된 테스트
• 사용자 구성 기반 테스트
• 테스트 자동화 및 다른 플랫폼/도구와의 통합을 위한 API
• CLI 도구
• 쉬운 사용을 위한 도커화된 프로젝트
• MIT 라이선스의 오픈소스 도구

도구 사용해보기

• pip를 사용하여 도구 설치

python -m pip install offat

• 도구 실행

offat -f swagger_file.json

• 더 많은 사용 옵션은 README.md를 읽어보세요.