A Especificação OpenAPI (OAS) define uma interface padrão e independente de linguagem de programação para APIs REST, que permite que humanos e computadores descubram e entendam as capacidades de um serviço sem precisar de acesso ao código-fonte, documentação adicional ou inspeção de tráfego de rede. Quando definida adequadamente via OpenAPI, um consumidor pode entender e interagir com o serviço remoto com uma quantidade mínima de lógica de implementação. Semelhante ao que as descrições de interface fizeram para a programação de baixo nível, a Especificação OpenAPI elimina suposições ao chamar um serviço.

Casos de uso para documentos de definição de API legíveis por máquina incluem, mas não se limitam a: documentação interativa; geração de código para documentação, clientes e servidores; e automação de casos de teste. Os documentos OpenAPI descrevem os serviços de uma API e são representados nos formatos YAML ou JSON. Esses documentos podem ser produzidos e servidos estaticamente ou gerados dinamicamente a partir de uma aplicação.

- OpenAPI Initiative

Realizar avaliação de segurança de APIs baseadas em OpenAPI pode ser uma tarefa tediosa devido à falta de capacidade nativa de análise de OpenAPI no Burp Suite (padrão da indústria). Uma solução para essa situação é usar ferramentas de terceiros (por exemplo, SOAP-UI) ou implementar scripts personalizados (muitas vezes por engajamento) para lidar com a análise de documentos OpenAPI e integrar/encadear os resultados ao Burp Suite para usar suas capacidades de varredura de primeira classe.

O openapi-parser é um analisador OpenAPI que visa simplificar todo esse processo, permitindo que profissionais de segurança usem o Burp Suite como uma ferramenta independente para avaliação de segurança de APIs baseadas em OpenAPI.

Funcionalidades

• Documentos OpenAPI podem ser analisados a partir de um arquivo fornecido ou de uma URL. A extensão pode buscar documentos OpenAPI diretamente de uma URL usando o recurso Enviar para o Analisador Swagger no menu de contexto Alvo -> Mapa do site.
• Analisa documentos OpenAPI, anteriormente conhecidos como Especificação Swagger, totalmente compatíveis com as Especificações OpenAPI 2.0/3.0 (OAS).
• As solicitações podem ser visualizadas/editadas diretamente na extensão antes de serem enviadas para outras ferramentas do Burp.
• As solicitações podem ser enviadas para as ferramentas Comparador, Intruder, Organizador, Repetidor, Scanner, Mapa do site e Escopo do Burp.
• Solicitações que correspondem a critérios específicos (detalhados na aba 'Parâmetros') podem ser interceptadas para corresponder e substituir automaticamente os valores padrão dos parâmetros analisados definidos na aba 'Parâmetros'. Esse recurso permite o ajuste fino das solicitações antes de enviá-las para outras ferramentas do Burp (por exemplo, scanner). As solicitações editadas podem ser visualizadas na aba 'Solicitação Modificada (Analisador OpenAPI)' do editor de mensagens do Burp.
• Realce de linhas permitindo que pentesters destaquem chamadas de API "interessantes" e/ou as codifiquem por cores para fins de relatório.
• Inclui um recurso de exportação para CSV, permitindo que os usuários exportem facilmente solicitações de API selecionadas no formato CSV para análise ou relatórios adicionais.
• Suporta os formatos JSON e YAML.

Requisitos

1. Requisitos de sistema

• Sistema Operacional: Compatível com sistemas operacionais Linux, macOS e Windows.

• Java Development Kit (JDK): Versão 11 ou superior.

• Burp Suite Professional ou Community Edition: Versão 2023.11.1.3 ou superior.

  [!IMPORTANT] Observe que o uso de qualquer versão inferior a 2023.3.2 pode resultar em um java.lang.NoSuchMethodError. É crucial usar a versão especificada ou uma mais recente para evitar esse problema.

2. Ferramenta de construção

• Gradle: Versão 8.5 ou superior (recomendado). O arquivo build.gradle está disponível no repositório do projeto.

3. Variáveis de ambiente

• Configure a variável de ambiente JAVA_HOME para apontar para o diretório de instalação do JDK.

Certifique-se de que todos os requisitos de sistema, incluindo uma versão compatível do Burp Suite, sejam atendidos antes de compilar e executar o projeto. Observe que as dependências externas do projeto serão gerenciadas e instaladas automaticamente pelo Gradle durante o processo de construção. Seguir os requisitos ajudará a evitar possíveis problemas e reduzirá a necessidade de abrir novos problemas no repositório do projeto.

Instalação

1. Compilação

1. Certifique-se de ter o Gradle instalado e configurado.

2. Baixe o repositório openapi-parser:

   root@kitploit:~

   git clone https://github.com/aress31/openapi-parser
   cd .\openapi-parser\
   

3. Construa o jar autônomo:

   root@kitploit:~

   ./gradlew fatJar
   

2. Carregando a Extensão no Burp Suite

Para instalar o openapi-parser no Burp Suite, primeiro vá até a aba Extensões e clique no botão Adicionar. Em seguida, selecione o arquivo openapi-parser-all localizado na pasta .\build\libs para carregar a extensão.

Alternativamente, você pode pular a etapa de Compilação e baixar a extensão diretamente da BApp Store.

Nota: A versão distribuída na BApp Store pode estar desatualizada em relação à versão disponível neste repositório.

Roadmap

• Embelezar a interface gráfica do usuário.
• Análise profunda dos esquemas OpenAPI para coletar todos os parâmetros aninhados, juntamente com seus exemplos/tipos.
• Simplificação/refatoração do código.
  • Usar MyHttpRequest em vez de RequestWithMetadata.
• Permitir a edição de células para alterar chamadas de API diretamente da GUI.
• Corrigir a aba do editor de solicitações personalizada para funcionar corretamente com solicitações interceptadas com base nas regras de correspondência e substituição.
• Otimizar ainda mais o código-fonte.
• Implementar suporte para testes autenticados (por meio de chaves de API fornecidas pelo usuário).
• Melhorar a coluna Param adicionando o tipo dos parâmetros (por exemplo, inquery, inbody).
• Melhorar as tabelas e os menus de contexto.
• Aumentar a verbosidade da extensão (através do painel inferior).

Consulte TODO para tarefas adicionais pendentes.

Informações do Projeto

Em julho de 2016, após postar uma solicitação de melhoria no fórum de suporte do PortSwigger, decidi tomar a iniciativa e implementar uma solução por conta própria.

A extensão ainda está em desenvolvimento; feedback, comentários e contribuições são muito apreciados.

Patrocine 💖

Se esta extensão economizou seu tempo e esforço durante uma avaliação de segurança, considere demonstrar seu apoio patrocinando um café ☕ para o desenvolvedor. É o combustível que impulsiona o desenvolvimento, afinal. Basta clicar no botão Patrocinar no topo da página ou clique aqui para contribuir e manter a cafeína fluindo. 💸

Relatando Problemas

Encontrou um bug? Bem, não deixe ele rastejando por aí! Vamos esmagá-lo juntos como dois caçadores de bugs! 🐛💪

Por favor, relate quaisquer problemas no rastreador de issues do GitHub. Juntos, vamos tornar esta extensão tão confiável quanto uma barata sobrevivendo a um apocalipse nuclear! 🚀

Contribuindo

Quer causar impacto com suas habilidades de programação? 💻

Incrível! Contribuições são bem-vindas e muito apreciadas. Envie todos os PRs no rastreador de pull requests do GitHub. Juntos podemos tornar esta extensão ainda mais incrível! 🚀

Licença

Veja LICENSE.