OWASP OFFAT

OWASP OFFAT（OFFensive Api Tester）旨在根据 OpenAPI 规范文件生成测试后，自动检测 API 的常见漏洞。它提供自动模糊测试输入的功能，并支持在测试中使用用户通过 YAML 配置文件提供的输入。

演示

注意：表中 'data_leak' 和 'result' 列代表独立的方面。端点可能存在数据泄露，但该端点的结果仍可能标记为 '成功'。这是因为 'result' 列不一定反映整体测试结果；即使存在数据泄露，它也可能显示为成功。

安全检测

• 受限 HTTP 方法
• SQLi
• BOLA
• 数据暴露
• BOPLA / 批量赋值
• 失效的访问控制
• 基本命令注入
• 基本 XSS/HTML 注入测试

特性

• 涵盖 OWASP API Top 10 中的部分安全检测
• 自动化测试
• 基于用户配置的测试
• 用于自动化测试及与其他平台/工具集成的 API
• 命令行工具
• Docker化项目，便于使用
• 采用 MIT 许可的开源工具

尝试工具

• 使用 pip 安装工具

python -m pip install offat

• 运行工具

offat -f swagger_file.json

• 更多用法选项请参阅 README.md