Automatización de seguridad en API's con Astra

alt text

Las pruebas de penetración API REST son complejas debido a los continuos cambios en las API existentes y las API recién agregadas. Astra puede ser utilizado por ingenieros o desarrolladores de seguridad como parte integral de su proceso, para que puedan detectar y parchear vulnerabilidades al principio del ciclo de desarrollo. Astra puede detectar y probar automáticamente el inicio de sesión y el cierre de sesión (API de autenticación), por lo que es fácil para cualquiera integrar esto en la tubería de CICD. Astra puede tomar la recopilación de API como entrada, por lo que también se puede usar para probar apis en modo independiente.

Inyección SQL
Secuencias de comandos de sitios cruzados
Fuga de información
Autenticación rota y gestión de sesiones
CSRF (incluyendo CSRF ciego)
Rate Limit
Configuración incorrecta de CORS (incluidas las técnicas de derivación de CORS)
Ataque JWT
Detección CRLF
Inyección ciega XXE

Requisitos de instalación

Linux or MacOS
Python 2.7
mongoDB

Instación

Uso de la herramienta

Instalación

$ git clone https://github.com/flipkart-incubator/Astra

$ cd Astra

$ sudo pip install -r requirements.txt

Docker Instalación

Ejecutar el contenedor de Mongo

$ docker pull mongo
$ docker run --name astra-mongo -d mongo

Instalación GUI Docker:

$ git clone https://github.com/flipkart-incubator/Astra.git
$ cd Astra
$ docker build -t astra .
$ docker run --rm -it --link astra-mongo:mongo -p 8094:8094 astra

Instalación de la CLI Docker :

$ git clone -b docker-cli https://github.com/flipkart-incubator/Astra.git
$ cd Astra
$ docker build -t astra-cli .
$ docker run --rm -it --link astra-mongo:mongo astra-cli

Dependencias

- requests
- logger
- pymongo
- ConfigParser
- pyjwt
- flask
- sqlmap

Documentación
https://www.astra-security.info

Uso del CLI

$ python astra.py --help

                      _
        /\       | |
       /  \   ___| |_ _ __ __ _
      / /\ \ / __| __| '__/ _` |
     / ____ \__ \ |_| | | (_| |
    /_/    \_\___/\__|_|  \__,_|



usage: astra.py [-h] [-c {Postman,Swagger}] [-n COLLECTION_NAME] [-u URL]
                [-headers HEADERS] [-method {GET,POST}] [-b BODY]
                [-l LOGINURL] [-H LOGINHEADERS] [-d LOGINDATA]

REST API Security testing Framework

optional arguments:
  -h, --help            show this help message and exit
  -c {Postman,Swagger}, --collection_type {Postman,Swagger}
                        Type of API collection
  -n COLLECTION_NAME, --collection_name COLLECTION_NAME
                        Type of API collection
  -u URL, --url URL     URL of target API
  -headers HEADERS, --headers HEADERS
                        Custom headers.Example: {"token" : "123"}
  -met   hod {GET,POST}, --method {GET,POST}
                        HTTP request method
  -b BODY, --body BODY  Request body of API
  -l LOGINURL, --loginurl LOGINURL
                        URL of login API
  -H LOGINHEADERS, --loginheaders LOGINHEADERS
                        Headers should be in a dictionary format. Example:
                        {"accesstoken" : "axzvbqdadf"}
  -d LOGINDATA, --logindata LOGINDATA
                        login data of API

Uso de la interfaz web
Ejecuta el archivo api.py y accede a la pagina web en http://127.0.0.1:8094