vapi

vAPI

vAPI adalah Antarmuka Terprogram yang Rentan dan Merugikan yang merupakan API yang Dapat Dihosting Sendiri yang meniru skenario 10 Teratas API OWASP dalam bentuk Latihan.

Persyaratan

• PHP
• MySQL
• Tukang pos
• Proksi MITM

Instalasi (Pelabuhan)

docker-compose up -d

Instalasi (Manual)

Menyalin Kode

 cd < your-hosting-directory > 

git clone https://github.com/roottusk/vapi.git

Menyiapkan Basis Data

Impor vapi.sql ke Database MySQL

Konfigurasikan Kredensial DB di vapi/.env

Memulai layanan MySQL

Jalankan perintah berikut (Linux)

service mysqld start

Memulai Server Laravel

Buka direktori vapi dan Jalankan

php artisan serve

Menyiapkan Tukang Pos

• Impor vAPI.postman_collection.json di Tukang Pos
• Impor vAPI_ENV.postman_environment.json di Tukang Pos

ATAU

Gunakan Ruang Kerja Umum

https://www.postman.com/roottusk/workspace/vapi/

Penggunaan

Telusuri http://localhost/vapi/ untuk Dokumentasi

Setelah Mengirim permintaan, lihat Tes Tukang Pos atau Lingkungan untuk Token yang Dihasilkan

Penyebaran

Helm dapat digunakan untuk diterapkan ke namespace Kubernetes. Bagan ada di folder vapi-chart . Bagan tersebut memerlukan satu rahasia bernama vapi dengan nilai berikut:

 DB_PASSWORD: <database password to use>
DB_USERNAME: <database username to use>

Contoh Perintah Pemasangan Helm: helm upgrade --install vapi ./vapi-chart --values=./vapi-chart/values.yaml

*** Penting ***

MYSQL_ROOT_PASSWORD pada baris 232 di values.yaml harus cocok dengan baris 184 agar dapat berfungsi.

Disajikan di

Hari Jadi OWASP ke-20

Blackhat Eropa 2021 Arsenal

HITB Cyberweek 2021, Abu Dhabi, UEA

@Hack, Riyadh, KSA

Mendatang

APISecure.co

Sebutan dan Referensi

[1] https://apisecurity.io/issue-132-experian-api-leak-breaches-digitalocean-geico-burp-plugins-vapi-lab/

[2] https://dsopas.github.io/MindAPI/references/

[3] https://dzone.com/articles/api-security-weekly-issue-132

[4] https://owasp.org/www-project-vulnerable-web-applications-directory/

[5] https://github.com/arainho/awesome-api-security

[6] https://portswigger.net/daily-swig/introducing-vapi-an-open-source-lab-environment-to-learn-about-api-security

[7] https://apisecurity.io/issue-169-insecure-api-wordpress-plugin-tesla-3rd-party-vulnerability-introducing-vapi/

Panduan/Tulisan/Video

[1] https://cyc0rpion.medium.com/exploiting-owasp-top-10-api-vulnerabilities-fb9d4b1dd471 (Penulisan vAPI 1.0)

[2] https://www.youtube.com/watch?v=0F5opL_c5-4&list=PLT1Gj1RmR7vqHK60qS5bpNUeivz4yhmbS (Bahasa Turki) (Panduan vAPI 1.1)

[3] https://medium.com/@jyotiagarwal3190/roottusk-vapi-writeup-341ec99879c (Penulisan vAPI 1.1)

Ucapan Terima Kasih

• Ikon dan spanduk menggunakan gambar dari Flaticon