OWASP OFFAT

OWASP OFFAT (OFFensive Api Tester) foi criado para testar automaticamente APIs em busca de vulnerabilidades comuns, após gerar testes a partir do arquivo de especificação openapi. Ele fornece a funcionalidade de fuzzear automaticamente entradas e usar entradas fornecidas pelo usuário durante os testes especificados via arquivo de configuração YAML.

Demo

Nota: As colunas para 'data_leak' e 'result' na tabela representam aspectos independentes. É possível que haja um vazamento de dados no endpoint, mas o resultado para esse endpoint ainda pode ser marcado como 'Success'. Isso porque a coluna 'result' não reflete necessariamente o resultado geral do teste; ela pode indicar sucesso mesmo na presença de um vazamento de dados.

Verificações de Segurança

• Métodos HTTP Restritos
• SQLi
• BOLA
• Exposição de Dados
• BOPLA / Mass Assignment
• Controle de Acesso Quebrado
• Injeção Básica de Comandos
• Teste Básico de Injeção XSS/HTML

Funcionalidades

• Poucas Verificações de Segurança do OWASP API Top 10
• Testes Automatizados
• Testes Baseados em Configuração do Usuário
• API para Automatizar Testes e Integrar a Ferramenta com outras plataformas/ferramentas
• Ferramenta CLI
• Projeto Dockerizado para Uso Fácil
• Ferramenta de Código Aberto com Licença MIT

Experimente a Ferramenta

• Instale a Ferramenta usando pip

python -m pip install offat

• Execute a Ferramenta

offat -f swagger_file.json

• Para mais opções de uso leia README.md