vapi

vAPI

vAPI — это уязвимый интерфейс с неблагоприятным программированием, который представляет собой самостоятельный API, который имитирует 10 лучших сценариев OWASP API с помощью упражнений.

Требования

• PHP
• MySQL
• Почтальон
• МИТМ-прокси

Установка (Докер)

docker-compose up -d

Установка (Ручная)

Копирование кода

 cd < your-hosting-directory > 

git clone https://github.com/roottusk/vapi.git

Настройка базы данных

Импортируйте vapi.sql в базу данных MySQL.

Настройте учетные данные БД в файле vapi/.env

Запуск службы MySQL

Запустите следующую команду (Linux)

service mysqld start

Запуск сервера Laravel

Перейдите в каталог vapi и запустите.

php artisan serve

Настройка почтальона

• Импортируйте vAPI.postman_collection.json в Postman.
• Импортируйте vAPI_ENV.postman_environment.json в Postman.

ИЛИ

Использовать общедоступное рабочее пространство

https://www.postman.com/roottusk/workspace/vapi/

Использование

Просмотрите http://localhost/vapi/ для документации.

После отправки запросов обратитесь к разделу «Тесты почтальона» или «Среда для сгенерированных токенов».

Развертывание

Helm можно использовать для развертывания в пространстве имен Kubernetes. График находится в папке vapi-chart . Для диаграммы требуется один секрет с именем vapi и следующими значениями:

 DB_PASSWORD: <database password to use>
DB_USERNAME: <database username to use>

Пример команды установки Helm: helm upgrade --install vapi ./vapi-chart --values=./vapi-chart/values.yaml

*** Важный ***

Чтобы работать, MYSQL_ROOT_PASSWORD в строке 232 файла values.yaml должен совпадать с параметром в строке 184.

Представлено на

20-летие OWASP

Блэкхэт Европа 2021 Арсенал

HITB Cyberweek 2021, Абу-Даби, ОАЭ

@Hack, Эр-Рияд, Саудовская Аравия

Предстоящие

APISecure.co

Упоминания и ссылки

[1] https://apisecurity.io/issue-132-experian-api-leak-breaches-digitalocean-geico-burp-plugins-vapi-lab/

[2] https://dsopas.github.io/MindAPI/references/

[3] https://dzone.com/articles/api-security-weekly-issue-132.

[4] https://owasp.org/www-project-vulnerable-web-applications-directory/

[5] https://github.com/arainho/awesome-api-security

[6] https://portswigger.net/daily-swig/introducing-vapi-an-open-source-lab-environment-to-learn-about-api-security

[7] https://apisecurity.io/issue-169-insecure-api-wordpress-plugin-tesla-3rd-party-vulnerability-introducing-vapi/

Пошаговые руководства/описания/видео

[1] https://cyc0rpion.medium.com/exploiting-owasp-top-10-api-vulnerabilities-fb9d4b1dd471 (запись vAPI 1.0)

[2] https://www.youtube.com/watch?v=0F5opL_c5-4&list=PLT1Gj1RmR7vqHK60qS5bpNUeivz4yhmbS (турецкий язык) (пошаговое руководство по vAPI 1.1)

[3] https://medium.com/@jyotiagarwal3190/roottusk-vapi-writeup-341ec99879c (описание vAPI 1.1)

Благодарности

• Иконка и баннер используют изображение Flaticon.