Burp suite插件ApiKit介绍和使用

一、介绍

项目地址：https://github.com/API-Security/APIKit

APIKit可以主动/被动扫描发现应用泄露的API文档，并将API文档解析成BurpSuite中的数据包用于API安全测试。

指纹支持

• GraphQL
• OpenAPI-Swagger
• SpringbootActuator
• SOAP-WSDL
• REST-WADL

二、使用

APIKit会对进入到BurpSuite的流量进行被动扫描。解析完成后可以在APIKit面板查看结果，同样Burpsuite的DashBoard也会有issue提示。

(1)配置

①Send with Cookie

开启Cookie，可以把包的Cookie存下来，生成请求的时候保留Cookie。

②Auto Request Sending

开启对API的请求，可以对子API进行自动化鉴权测试，快速发现API未授权访问漏洞。

(2)被动扫描

默认情况下流经BurpSuite的流量都会进行API探测解析和扫描。

(3)主动扫描

①Do Auto API scan

可以指定任意一个请求进行API指纹探测。

点击右键，选择Do Auto API scan来发起一次主动扫描，进行API指纹探测。

②Do Target API Scan

可以指定任意API技术、任意BasePath、任意API文档Path、和任意Header进行API请求的生成和探测。

填写指定任意API技术、任意BasePath、任意API文档Path、和任意Header，再点击Scan进行API请求的生成和探测。

注意

Base Path URL要以/结尾。

三、API漏洞自动扫描

提示

所有与BurpSuite联动的工具均可联动APIKit。比如xray。

(1)xray

①xray配置

./xray_darwin_amd64 webscan --listen 127.0.0.1:7777  --html-output APIKit.html

②Burp配置

和xray配置一样的端口