AuthzAI：自动化权限模型检测工具

AuthzAI：自动化权限模型检测工具

AuthzAI 项目地址: https://gitcode.com/gh_mirrors/au/AuthzAI

项目核心功能/场景

自动化测试API端点，检测潜在的权限模型违规。

项目介绍

AuthzAI 是一款基于 Python 的自动化工具，它能够模拟不同的用户认证，对 API 端点发送请求，并通过分析响应来识别权限模型的潜在违规。此工具对于开发人员和赏金猎人来说尤为重要，因为它可以自动化权限测试过程，提高安全性和效率。

项目技术分析

AuthzAI 利用 Python 的网络请求库和 OpenAI 的 GPT 模型，实现了自动化测试和智能分析功能。下面是它的关键技术组件：

• 网络请求: 使用 requests 库发送 HTTP 请求，能够支持不同类型的认证。
• 智能分析: 通过 OpenAI 的 GPT 模型分析响应内容，智能识别权限违规。
• 进度追踪: 使用 SQLite 数据库存储测试进度，确保测试的可追踪性。
• 报告生成: 自动生成文本报告，简洁明了地展示分析结果。

项目技术应用场景

AuthzAI 的应用场景广泛，特别是在以下情况下尤为有用：

• 安全测试: 在软件开发周期中，自动化测试权限模型，确保权限设置正确。
• 漏洞赏金计划: 赏金猎人在参与漏洞挖掘时，使用 AuthzAI 来发现权限设置错误。
• 合规审查: 对已有系统进行合规性检查，确保权限管理符合规定。

项目特点

1. 自动化API请求: 自动化发送请求，减轻手动测试的负担。
2. 智能权限分析: 利用 OpenAI 的 GPT 模型，提供更深入的权限分析。
3. 进度跟踪: 通过 SQLite 数据库，实时跟踪测试进度。
4. 详尽报告: 生成报告文件，总结测试结果，便于问题定位。
5. 灵活配置: 通过 JSON 配置文件，轻松定义测试的 API 主机、用户认证和端点。

安装与配置

安装 AuthzAI 需要具备 Python 3.7 或更高版本，并拥有一个 OpenAI API 密钥。安装过程包括克隆仓库、安装依赖、设置环境变量以及配置 JSON 文件。

git clone https://example-code-repository.com/AuthzAI
cd AuthzAI
pip install -r requirements.txt
export OPENAI_API_KEY='your-api-key-here'

配置 JSON 文件，定义 API 主机、用户认证和端点。

{
  "host": "https://api.example.com",
  "user_auth": [
    {
      "headers": {
        "Authorization": "Bearer admin_token"
      },
      "description": "管理员权限"
    },
    {
      "headers": {
        "Authorization": "Bearer read_only_token"
      },
      "description": "只读权限"
    }
  ],
  "endpoints": [
    {
      "method": "GET",
      "path": "/v1/account/details"
    },
    {
      "method": "POST",
      "path": "/v1/account/update"
    },
    {
      "method": "GET",
      "path": "/v1/billing/info"
    }
  ]
}

使用方法

运行 Python 脚本，AuthzAI 会根据配置文件自动进行权限测试，并在完成后生成报告。

python authz_ai.py

输出

AuthzAI 会在执行完成后生成两个主要输出文件：

• progress.db: 存储请求和进度信息的 SQLite 数据库文件。
• report.txt: 总结分析结果的文本文件。

以下是一个报告文件的示例输出：

总分析请求：6

分析详情：
- 用户：管理员权限
  端点：GET /v1/account/details
  分析：未检测到权限违规。

- 用户：只读权限
  端点：POST /v1/account/update
  分析：
  {
    "权限违规": true,
    "违规权限": "只读用户修改账户详情。",
    "分析": "只读用户不应能够更新账户详情，但响应显示成功。"
  }

AuthzAI 是一款高效、智能的权限模型检测工具，适用于开发人员和安全专家，能够在软件开发和漏洞挖掘中发挥重要作用。通过自动化测试和智能分析，它能够帮助企业确保系统的安全性和合规性。

AuthzAI 项目地址: https://gitcode.com/gh_mirrors/au/AuthzAI