Tiredful-API

O que é Tiredful API?

Tiredful API é um aplicativo propositalmente projetado com falhas. O objetivo deste aplicativo web é ensinar desenvolvedores, QAs ou profissionais de segurança sobre falhas presentes em web services (REST API) devido a práticas de codificação inseguras.

Quem pode usar Tiredful API?

• Desenvolvedores Web
• Pentesters Web
• Profissionais de Segurança
• Estudantes

O que está incluído no Tiredful API?

Tentei cobrir a maioria das vulnerabilidades, mas tenho certeza de que algumas foram perdidas. Por favor, me avise se você conhecer alguma vulnerabilidade boa que deva ser incluída. Por enquanto, incluí as seguintes vulnerabilidades.

• Divulgação de Informações
• Referência Direta Insegura a Objetos
• Controle de Acesso
• Throttling (Limitação de Taxa)
• Injeção de SQL (SQLite)
• Cross Site Scripting.

Você pode ver a solução aqui

Posso contribuir?

Sim, você pode ajudar nos enviando detalhes de vulnerabilidades que possamos implementar em versões futuras do Tiredful API. Envie um e-mail para info[at]payatu.com com o assunto "Tiredful API Scenario".

Onde posso obter o Tiredful API?

O código-fonte pode ser baixado do link.

Como executar o Tiredful API?

O Tiredful API é desenvolvido usando Django Framework e Django Rest Framework, portanto, para executar o servidor web, o usuário precisa executar o seguinte comando.

• Navegue até a pasta de origem e localize o arquivo manage.py.
• Em seguida, execute python manage.py runserver.
• Se os arquivos estáticos não estiverem carregando, execute o comando acima com a flag insecure, ou seja, python manage.py runserver --insecure Se você estiver enfrentando algum problema para iniciar o servidor web, consulte a documentação do Django admin ou o tutorial da documentação do Django. Por favor, me avise se ainda não conseguir executar o servidor de desenvolvimento.

Nota: Recomenda-se usar as bibliotecas necessárias com a versão especificada no requirements.txt. Consulte isto para mais detalhes.

Container Docker

Você pode executar o Tiredful via Docker. Basta executar:

docker build -t tiredful .
docker run -p 8000:8000 --name tiredful -it tiredful

Navegue até http://localhost:8000/ e está pronto. Use CTRL-C para desligar o servidor.

Novos cenários baseados em JWT foram adicionados. Repositório atualizado disponível em repo

Código Compatível com Python3

Tiredful API Python3

Feedback e Relatórios de Bug.

Gostaríamos muito de ouvir sua opinião sobre sua experiência com o Tiredful API. Envie-nos um e-mail para info [at] payatu [dot] com ou siddharth [dot] bezalwar [at] gmail [dot] com com o assunto "Tiredful API Issue" com base no que deseja compartilhar. Inclua o seguinte em seu e-mail.

• Sistema operacional com versão.
• Django Framework utilizado.
• Passos para replicar o problema.

Autor

Siddharth Bezalwar

@fattu_medjai | siddharth [dot] bezalwar [at] gmail [dot] com

Sobre a Payatu

A Payatu é uma empresa boutique de testes de segurança com especialização em:

• Segurança IoT
• Segurança Móvel
• Segurança na Nuvem
• Segurança Web Também organizamos duas Conferências Internacionais de Segurança

nullcon International Security Conference - http://nullcon.net hardwear.io Hardware Security Conference - http://hardwear.io Website: http://payatu.com Email: info (at) payatu dot com