Realizando Fuzzing de API com RESTler

Quando Usar

• Realizando testes de segurança automatizados de APIs REST usando suas especificações OpenAPI/Swagger
• Descobrindo bugs que só se manifestam através de sequências específicas de chamadas de API (testes com estado)
• Encontrando respostas de Erro Interno do Servidor 500 que indicam exceções não tratadas ou condições de falha
• Testando a validação de entrada da API através de fuzzing de parâmetros com payloads malformados, de limite e de injeção
• Executando testes de regressão de segurança contínuos em pipelines de CI/CD para alterações de API

Não use contra ambientes de produção sem autorização explícita e monitoramento. O RESTler cria e exclui recursos agressivamente durante o fuzzing.

Pré-requisitos

• Autorização por escrito especificando a API alvo e o escopo de teste aceitável
• Python 3.12+ e runtime .NET 8.0 instalados
• RESTler baixado de https://github.com/microsoft/restler-fuzzer
• Especificação OpenAPI/Swagger (v2 ou v3) para a API alvo
• Credenciais de autenticação da API (tokens, chaves de API ou credenciais OAuth)
• Ambiente de teste/staging isolado (o RESTler pode criar milhares de recursos por hora)

Fluxo de Trabalho

Passo 1: Instalação e Configuração do RESTler

# Clone and build RESTler
git clone https://github.com/microsoft/restler-fuzzer.git
cd restler-fuzzer

# Build RESTler
python3 ./build-restler.py --dest_dir /opt/restler

# Verify installation
/opt/restler/restler/Restler --help

# Alternative: Use pre-built release
# Download from https://github.com/microsoft/restler-fuzzer/releases

Passo 2: Compilar a Especificação da API

# Compile the OpenAPI spec into a RESTler fuzzing grammar
/opt/restler/restler/Restler compile \
    --api_spec /path/to/openapi.yaml

# Output directory structure:
# Compile/
#   grammar.py          - Generated fuzzing grammar
#   grammar.json        - Grammar in JSON format
#   dict.json           - Custom dictionary for fuzzing values
#   engine_settings.json - Engine configuration
#   config.json         - Compilation config

Dicionário personalizado para fuzzing direcionado (dict.json):

{
    "restler_fuzzable_string": [
        "fuzzstring",
        "' OR '1'='1",
        "\" OR \"1\"=\"1",
        "<script>alert(1)</script>",
        "../../../etc/passwd",
        "${7*7}",
        "{{7*7}}",
        "a]UNION SELECT 1,2,3--",
        "\"; cat /etc/passwd; echo \"",
        "AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA"
    ],
    "restler_fuzzable_int": [
        "0",
        "-1",
        "999999999",
        "2147483647",
        "-2147483648"
    ],
    "restler_fuzzable_bool": ["true", "false", "null", "1", "0"],
    "restler_fuzzable_datetime": [
        "2024-01-01T00:00:00Z",
        "0000-00-00T00:00:00Z",
        "9999-12-31T23:59:59Z",
        "invalid-date"
    ],
    "restler_fuzzable_uuid4": [
        "00000000-0000-0000-0000-000000000000",
        "aaaaaaaa-aaaa-aaaa-aaaa-aaaaaaaaaaaa"
    ],
    "restler_custom_payload": {
        "/users/{userId}": ["1", "0", "-1", "admin", "' OR 1=1--"],
        "/orders/{orderId}": ["1", "0", "999999999"]
    }
}

Passo 3: Configurar Autenticação

# authentication_token.py - RESTler authentication module
import requests
import json
import time

class AuthenticationProvider:
    def __init__(self):
        self.token = None
        self.token_expiry = 0
        self.auth_url = "https://target-api.example.com/api/v1/auth/login"
        self.credentials = {
            "email": "fuzzer@test.com",
            "password": "FuzzerPass123!"
        }

    def get_token(self):
        """Get or refresh authentication token."""
        current_time = time.time()
        if self.token and current_time < self.token_expiry - 60:
            return self.token

        resp = requests.post(self.auth_url, json=self.credentials)
        if resp.status_code == 200:
            data = resp.json()
            self.token = data["access_token"]
            self.token_expiry = current_time + 3600  # Assume 1-hour TTL
            return self.token
        else:
            raise Exception(f"Authentication failed: {resp.status_code}")

    def get_auth_header(self):
        """Return the authentication header for RESTler."""
        token = self.get_token()
        return f"Authorization: Bearer {token}"

# Export the token refresh command for RESTler
auth = AuthenticationProvider()
print(auth.get_auth_header())

Configurações do motor para autenticação (engine_settings.json):

…