vAPI

vAPI é uma Interface Programada Adversamente Vulnerável que é uma API auto-hospedável que simula cenários do OWASP API Top 10 na forma de Exercícios.

Requisitos

• PHP
• MySQL
• PostMan
• MITM Proxy

Instalação (Docker)

docker-compose up -d

Instalação (Manual)

Copiando o Código

cd <your-hosting-directory>

git clone https://github.com/roottusk/vapi.git

Configurando o Banco de Dados

Importe vapi.sql para o Banco de Dados MySQL

Configure as Credenciais do BD no vapi/.env

Iniciando o serviço MySQL

Execute o seguinte comando (Linux)

service mysqld start

Iniciando o servidor Laravel

Vá para o diretório vapi e execute

php artisan serve

Configurando o Postman

• Importe vAPI.postman_collection.json no Postman
• Importe vAPI_ENV.postman_environment.json no Postman

OU

Use o Workspace Público

https://www.postman.com/roottusk/workspace/vapi/

Uso

Acesse http://localhost/vapi/ para Documentação

Após enviar as requisições, consulte os Testes do Postman ou o Ambiente para os Tokens Gerados

Implantação

Helm pode ser usado para implantar em um namespace Kubernetes. O chart está na pasta vapi-chart. O chart requer um segredo chamado vapi com os seguintes valores:

DB_PASSWORD: <database password to use>
DB_USERNAME: <database username to use>

Exemplo de comando de instalação Helm: helm upgrade --install vapi ./vapi-chart --values=./vapi-chart/values.yaml

*** Importante ***

O MYSQL_ROOT_PASSWORD na linha 232 no values.yaml deve corresponder ao da linha 184 para funcionar.

Apresentado Em

OWASP 20º Aniversário

Blackhat Europe 2021 Arsenal

HITB Cyberweek 2021, Abu Dhabi, UAE

@Hack, Riyadh, KSA

Próximos Eventos

APISecure.co

Menções e Referências

[1] https://apisecurity.io/issue-132-experian-api-leak-breaches-digitalocean-geico-burp-plugins-vapi-lab/

[2] https://dsopas.github.io/MindAPI/references/

[3] https://dzone.com/articles/api-security-weekly-issue-132

[4] https://owasp.org/www-project-vulnerable-web-applications-directory/

[5] https://github.com/arainho/awesome-api-security

[6] https://portswigger.net/daily-swig/introducing-vapi-an-open-source-lab-environment-to-learn-about-api-security

[7] https://apisecurity.io/issue-169-insecure-api-wordpress-plugin-tesla-3rd-party-vulnerability-introducing-vapi/

Tutoriais/Writeups/Vídeos

[1] https://cyc0rpion.medium.com/exploiting-owasp-top-10-api-vulnerabilities-fb9d4b1dd471 (Writeup do vAPI 1.0)

[2] https://www.youtube.com/watch?v=0F5opL_c5-4&list=PLT1Gj1RmR7vqHK60qS5bpNUeivz4yhmbS (Língua Turca) (Walkthrough do vAPI 1.1)

[3] https://medium.com/@jyotiagarwal3190/roottusk-vapi-writeup-341ec99879c (Writeup do vAPI 1.1)

Agradecimentos

• O ícone e banner usam imagem do Flaticon