APIFinderPlus API挖掘项目开源公测

admin
admin
admin
140521
文章
117
评论
2024年10月9日22:21:42评论69 views字数 2068阅读6分53秒阅读模式
APIFinderPlus API挖掘项目开源公测

△△△点击上方“蓝字”关注我们了解更多精彩
0x00 前言
免责声明：继续阅读文章视为您已同意[NOVASEC免责声明].
前段时间开放内测的APIFinderPlus插件经过内测似乎没有得到什么功能上的建议，功能似乎已经完善,考虑开源项目收集更多建议.
致谢项目原始开发大佬@Shaun
致谢项目开发这几个月的实测大佬 @LiuYuChi @WangYiRan
使用说明略显繁杂，更多的按钮功能可以鼠标悬浮提示.
0x01 APIFinderPlus:
目标是成为当下最完善的API挖掘工具，实现自动提取响应敏感信息、URI信息，并且对URI进行自动|手动递归检查。
https://github.com/winezer0/APIFinderPlus

功能介绍：

做最全面的API挖掘工具、 减少手动拼接Path的提取测试、 补充无法自动处理的操作、

1、支持 响应 信息中的敏感信息、URL、URI提取.

2、支持 自动基于 已知路径信息 计算PATH 对应的实际URL.

3、支持 自动访问 挖掘出来的URL信息 进行递归式的信息提取.

4、支持 对webpack的js的简单格式的拼接提取 （限制格式，但准确度高）

欢迎大家Star.

0X02 其他说明
当前插件可以通过【当前路径拼接】和【有效路径计算】，计算出可能的API路径。
当前路径拼接：直接拼接当前文件路径和提取结果，适用于部分场景，在部分场景下存在限制
举例：
有效路径：http://www.baidu.com/aaa/xxx.js提取路径：/bbb计算结果：http://www.baidu.com/aaa/bbb
有效路径计算：基于有效路径和带目录的提取路径进行计算，适用于部分场景,在部分场景下存在限制
举例：
有效路径：http://www.baidu.com/aaa/xxx提取路径：aaa/bbb计算结果：http://www.baidu.com/aaa/bbb
手动指定场景：
对于更多复杂的场景，如（前后端分离）已知有效路径，但是有效路径不是当前域名的，可以调用右键功能 手动指定有效路径，为当前提取API结果进行指定根URL的拼接。
举例：
提取路径：aaa/bbb指定路径：http://api.baidu.com/aaa/xxx计算结果：http://api.baidu.com/aaa/bbb
通过 CONF_DEFAULT_PERFORMANCE 进行关键配置：
分段正则处理的大小："maxPatterChunkSizeDefault=20000",（默认5w以下即可,通过缩小处理内容节省内存占用）最大保留的响应体大小： "maxStoreRespBodyLenDefault=1200000",（保留的响应体会在内容中限制,可能会导致显示卡顿）执行线程间隔时间/秒:"monitorExecutorIntervalsDefault=4",（定时执行挖掘任务的时间频率,4线程电脑可改为2(秒)）有效路径记录功能:"autoRecordPathIsOpenDefault=true",（建议开启,未开启就无法动态计算API)动态有效路径筛选："dynamicPathFilterIsOpenDefault=false",（在当网站任何不存在的路径都是200响应时开启）根据有效路径筛选计算API："autoPathsToUrlsIsOpenDefault=false",（建议开启,未开启就无法动态计算API)自动递归访问URL："autoRecursiveIsOpenDefault=false",（一般不需要开启,可以右键手动调用）监听Proxy模块传入的流量："proxyListenIsOpenDefault=false",（一般需要开启,也可以右键转发报文到插件中）自动刷新未访问URL ："autoRefreshUnvisitedIsOpenDefault=false",（数据库中有记录提取/计算的API是否已经访问过）（一般不需要开启,可以右键手动调用）自动刷新UI表格："autoRefreshUiIsOpenDefault=false",（UI内容是定时从数据库提取更新的）（一般需要开启,也可以点击刷新按钮手动调用）强制解码Unicode Json编码："forceDecodeUnicodeDefault=true"（部分场景的中文、斜杠转义,会导致正则提取失败）（建议开启）

配置修改后如果需要持久话需要点击功能按钮进行保存，下次重新加载插件会进行导入。

0X03 总结
在功能上目前程序基本已经覆盖API挖掘的常见方面，可以说是目前最全面的API挖掘工具。
部分场景由于JS混淆、前后端问题目前无法完整实现自动化。
前端API挖掘大部分情况是徒劳无功的，如果没有发现有效的结果，可能是正常的情况、也有可能是功能实现上的不足。
希望大家能够提供功能、开发建议。
END

如您有任何投稿、问题、需求、建议

请NOVASEC公众号后台留言！

APIFinderPlus API挖掘项目开源公测

 

原文始发于微信公众号（NOVASEC）：APIFinderPlus API挖掘项目开源公测

免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2024年10月9日22:21:42
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出)：
                   APIFinderPlus API挖掘项目开源公测https://cn-sec.com/archives/3245748.html
                  免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉.

发表评论

匿名网友 填写信息