API-SPY 🕵️👻

Uma ferramenta poderosa de brute-force em diretórios projetada para reconhecimento de API e testes de penetração. Descobre automaticamente endpoints ocultos de API, realiza subvarredura recursiva e testa métodos HTTP para enumeração mais aprofundada de APIs.

Funcionalidades

✨ Capacidades Principais:

• 🎯 Descoberta rápida de endpoints usando brute-force baseado em wordlist
• 🔄 Subvarredura recursiva automática de endpoints descobertos
• 🔍 Teste de métodos HTTP (GET, POST, PUT, DELETE, PATCH, OPTIONS)
• ⚡ Varredura multi-thread para melhor desempenho
• 📊 Tratamento inteligente de códigos de status (200, 401, 403)
• 🔗 Prompts interativos para subvarredura e teste seletivos
• 🕷️ Extração de JavaScript para endpoints comuns de /api/
• 🪟 Suporte a multiplexação de terminal (tmux) para operações paralelas
• ⏱️ Pulo automático de prompts com tempo limite configurável

Instalação

Pré-requisitos

• Python 3.6+
• Biblioteca requests
• tmux (opcional, para a flag --split)
• xfce-terminal (para ambientes desktop Linux)

Configuração

# Clone o repositório
git clone https://github.com/austinjump-sec/API-SPY.git
cd API-SPY

# Instale as dependências
pip install requests

# Torne os scripts executáveis (opcional)
chmod +x apispy.py apiprobe.py

Uso

Sintaxe Básica

python3 apispy.py <baseUrl> <wordlist> [OPÇÕES]

Argumentos Obrigatórios

Argumento	Descrição
<baseUrl>	URL alvo (ex.: http://exemplo.com ou http://api.exemplo.com)
<wordlist>	Caminho para o arquivo de wordlist contendo endpoints (um por linha)

Argumentos Opcionais

Argumento	Descrição
--t<número>	Número de threads (máx. 150, padrão: 1)
--split	Usa tmux split-window em vez de novas janelas de terminal
--debug	Mostra mensagens de erro ocultas
--loud	Mostra todas as mensagens, positivas e erros, destacando qualquer coisa que não retorne 404
--js	Escaneia arquivos JavaScript e extrai endpoints de API comuns fixados no código

Exemplos

Varredura básica com configuração padrão (single-thread)

python3 apispy.py http://api.exemplo.com wordlist.txt

Varredura multi-thread com 10 threads

python3 apispy.py http://api.exemplo.com wordlist.txt -t10

Usar tmux para operações paralelas

python3 apispy.py http://api.exemplo.com wordlist.txt -t5 --split

Subvarredura de URL específica com maior número de threads

python3 apispy.py http://api.exemplo.com/v1 wordlist.txt -t20

Como Funciona

Fase 1: Teste de Endpoints Comuns de API

A ferramenta começa testando um conjunto predefinido de caminhos comuns de API:

• api, v1, v2, api/v1, api/v2, graphql, rest

Fase 2: Brute-Force com Wordlist

• Carrega endpoints da sua wordlist (ignora comentários iniciados com #)
• Testa cada endpoint com requisições HTTP GET
• Execução multi-thread para varredura mais rápida
• Identifica endpoints responsivos com códigos de status: 200, 401, 403

Fase 3: Subvarredura Interativa (Opcional)

Quando um endpoint é encontrado, você recebe um prompt:

'-> Subscaneamento <url>? (s/n) [Pulo automático em 5s]:

• Escolha s/sim para escanear recursivamente aquele endpoint com a mesma wordlist
• Inicia automaticamente em um novo terminal ou janela tmux dividida
• Pula automaticamente após 5 segundos se nenhuma entrada for fornecida

Fase 4: Teste de Métodos HTTP (Opcional)

Após a subvarredura, você recebe um prompt:

'-> Testar métodos em <url>? (s/n) [Pulo automático em 5s]:

• Inicia apiprobe.py que testa métodos HTTP no endpoint descoberto
• Testa: GET, POST, PUT, DELETE, PATCH, OPTIONS
• Saída colorida (verde para 200, amarelo para erros de autenticação)
• Mostra tamanhos das respostas e dicas do cabeçalho Allow

Interpretação da Saída

Script Principal API-SPY

[+] Url found: http://api.exemplo.com/v1            ← 200 OK (acessível)
    '-> Subscaneamento http://api.exemplo.com/v1? (s/n) [Pulo automático em 0s]: 
[-] Timeout: Skipped prompt for http://api.exemplo.com/v1?
    '-> Testar métodos em http://api.exemplo.com/v1? (s/n) [Pulo automático em 4s]: 
[-] Url found but not permitted (403 ERR): ...      ← Proibido mas existe
[-] Url found but not permitted (401 ERR): ...      ← Requer autenticação

Script API-Probe

[+] GET     -> STATUS: 200 OK (Tamanho: 1024)
[-] POST    -> STATUS: 405 (Tamanho: 0)
[Dica do Cabeçalho] Allow: GET, HEAD, OPTIONS

Formato da Wordlist

Crie um arquivo de texto simples com endpoints (um por linha):

admin
users
api/users
v1/products
v2/customers
/api/v1/auth
/graphql
search
data
config

Nota: Linhas iniciadas com # são tratadas como comentários e ignoradas.

Wordlists Recomendadas

Wordlists populares de API para usar com o API-SPY:

• SecLists - Endpoints de API
• Wordlist da Assetnote
• Rotas de API do FuzzDB

Dicas de Performance

Diretrizes para Número de Threads

• 1-5 threads: Conservador, menor risco de detecção, mais lento
• 5-20 threads: Desempenho equilibrado e furtividade
• 20-50 threads: Varredura agressiva, resultados mais rápidos
• 50-150 threads: Velocidade máxima (pode disparar WAF/IDS)

# Modo furtivo (poucas threads)
python3 apispy.py http://alvo.com wordlist.txt -t3

# Modo equilibrado
python3 apispy.py http://alvo.com wordlist.txt -t15

# Modo agressivo
python3 apispy.py http://alvo.com wordlist.txt -t50

Comportamento de Tempo Limite

• Prompts interativos pulam automaticamente após 5 segundos
• Útil para varredura não monitorada de grandes listas de alvos
• Modifique timeout=5 no código-fonte para personalizar

Solução de Problemas

"Wordlist not found"

Verifique se o caminho da wordlist está correto e o arquivo existe:

ls -la /caminho/para/wordlist.txt

Erro de script nomeado incorretamente

Ao subvarrer, certifique-se de que:

• O script principal se chama: apispy.py
• O script de teste se chama: apiprobe.py
• Ambos estão no mesmo diretório

tmux split-window não está funcionando

Se --split falhar:

• Instale o tmux: sudo apt install tmux
• Certifique-se de estar executando dentro de uma sessão tmux: tmux new-session -s scan
• Reverte automaticamente para xfce-terminal

"Connection Failed" para todos os endpoints

• Verifique se a URL base está correta e acessível
• Verifique configurações de firewall/proxy
• Certifique-se de que o serviço alvo está em execução
• Teste manualmente: curl http://sua-url/

Nenhum resultado encontrado

• Verifique se a wordlist contém endpoints relevantes
• Verifique se o alvo retorna códigos de status diferentes de 200/401/403
• Tente com menos threads para evitar timeouts
• Aumente o tempo limite da requisição na função check_status()

Considerações de Segurança

⚠️ Legal e Ético:

• Teste apenas sistemas que você possui ou tem permissão explícita por escrito para testar
• O acesso não autorizado a sistemas de computador é ilegal na maioria das jurisdições
• Use o API-SPY de forma responsável para testes de penetração autorizados e pesquisa em segurança
• Respeite os limites de taxa e não realize ataques DoS

Melhores Práticas