หน้าแรก>ซอร์สโค้ด PHP>หมวดหมู่อื่นๆ
ดาวน์โหลด

วีเอพีไอ

vAPI คืออินเทอร์เฟซที่ตั้งโปรแกรมไว้อย่างไม่พึงประสงค์ซึ่งมีช่องโหว่ ซึ่งเป็น API แบบโฮสต์ได้เองที่เลียนแบบสถานการณ์ OWASP API 10 อันดับแรกในวิธีฝึกหัด

ความต้องการ

  • PHP
  • MySQL
  • บุรุษไปรษณีย์
  • พร็อกซี MITM

การติดตั้ง (นักเทียบท่า) 

docker-compose up -d

การติดตั้ง (ด้วยตนเอง)

การคัดลอกโค้ด 

 cd < your-hosting-directory > 
git clone https://github.com/roottusk/vapi.git

การตั้งค่าฐานข้อมูล

นำเข้า vapi.sql ไปยังฐานข้อมูล MySQL

กำหนดค่าข้อมูลรับรอง DB ใน vapi/.env

กำลังเริ่มบริการ MySQL

เรียกใช้คำสั่งต่อไปนี้ (Linux) 

service mysqld start

การเริ่มต้นเซิร์ฟเวอร์ Laravel

ไปที่ไดเร็กทอรี vapi และเรียกใช้ 

php artisan serve

การตั้งค่าบุรุษไปรษณีย์

  • นำเข้า vAPI.postman_collection.json ในบุรุษไปรษณีย์
  • นำเข้า vAPI_ENV.postman_environment.json ในบุรุษไปรษณีย์

หรือ

ใช้พื้นที่ทำงานสาธารณะ

https://www.postman.com/roottusk/workspace/vapi/

การใช้งาน

เรียกดู http://localhost/vapi/ สำหรับเอกสารประกอบ

หลังจากส่งคำขอแล้ว โปรดดูการทดสอบบุรุษไปรษณีย์หรือสภาพแวดล้อมสำหรับโทเค็นที่สร้างขึ้น

การปรับใช้

Helm สามารถใช้เพื่อปรับใช้กับเนมสเปซ Kubernetes แผนภูมิอยู่ในโฟลเดอร์ vapi-chart แผนภูมิต้องการข้อมูลลับหนึ่งชื่อ vapi ที่มีค่าต่อไปนี้: 

 DB_PASSWORD: <database password to use>
DB_USERNAME: <database username to use>

ตัวอย่างคำสั่งติดตั้ง Helm: helm upgrade --install vapi ./vapi-chart --values=./vapi-chart/values.yaml

*** สำคัญ ***

MYSQL_ROOT_PASSWORD ในบรรทัด 232 ใน values.yaml จะต้องตรงกับในบรรทัด 184 เพื่อให้สามารถทำงานได้

นำเสนอ ณ

ครบรอบ 20 ปี OWASP

แบล็คแฮตยุโรป 2021 อาร์เซนอล

HITB Cyberweek 2021 อาบูดาบี สหรัฐอาหรับเอมิเรตส์

@แฮ็ค ริยาด KSA

ที่กำลังจะมีขึ้น

APISecure.co

การกล่าวถึงและการอ้างอิง

[1] https://apisecurity.io/issue-132-experian-api-leak-breaches-digitalocean-geico-burp-plugins-vapi-lab/

[2] https://dsopas.github.io/MindAPI/references/

[3] https://dzone.com/articles/api-security-weekly-issue-132

[4] https://owasp.org/www-project-vulnerable-web-applications-directory/

[5] https://github.com/arainho/awesome-api-security

[6] https://portswigger.net/daily-swig/introcing-vapi-an-open-source-lab-environment-to-learn-about-api-security

[7] https://apisecurity.io/issue-169-insecure-api-wordpress-plugin-tesla-3rd-party-vulnerability-introcing-vapi/

บทสรุป/การเขียน/วิดีโอ

[1] https://cyc0rpion.medium.com/exploiting-owasp-top-10-api-vulnerabilities-fb9d4b1dd471 (การเขียน vAPI 1.0)

[2] https://www.youtube.com/watch?v=0F5opL_c5-4&list=PLT1Gj1RmR7vqHK60qS5bpNUeivz4yhmbS (ภาษาตุรกี) (vAPI 1.1 เกมส์)

[3] https://medium.com/@jyotiagarwal3190/roottusk-vapi-writeup-341ec99879c (การเขียน vAPI 1.1)

รับทราบ

  • ไอคอนและแบนเนอร์ใช้รูปภาพจาก Flaticon
ขยาย
ข้อมูลเพิ่มเติม
แอปที่เกี่ยวข้อง
แนะนำสำหรับคุณ
ข้อมูลที่เกี่ยวข้อง ทั้งหมด