למה להשתמש ב-NotHoly לאבטחת web ו-API

בדיקת web ו-API היא קריאה: בקשה, תשובה, bundle של JavaScript, spec של OpenAPI, ואז כתיבת הבקשה הבאה שמוכיחה את הבאג. מודל כללי מהסס ברגע שאתם מבקשים את מחרוזת ההזרקה או את ה-bypass של ה-auth, ו-scanner מוצא את השטחי ועוצר. NotHoly קוראת את מה שאתם מדביקים, כותבת את הטסט, ומשאירה את השליחה ל-proxy שלכם. אתם שומרים על Burp, Caido, ZAP או הסקריפטים שלכם; המודל הוא הקורא והכותב בלולאה. מקרה השימוש של pentest מכיל את המתודולוגיה; כאן מדובר למה המודל מתאים לעבודת web ו-API.

#הדביקו את הבקשה, התשובה או ה-spec

תנו למודל את ה-HTTP הגולמי, תשובה שנראית שגויה, חתיכה של bundle או מסמך OpenAPI, והוא נוקב במה שחסר: הפניית אובייקט בלי בדיקת בעלות, endpoint שסומך על תפקיד בצד הלקוח, פרמטר שמגיע ל-query בלי escaping, token שלא מאומת. הוא מסביר למה, ומסמן את הבקשה לשלוח בהמשך. הדביקו תשובה עם header מוזר או דליפת שגיאה, והוא אומר מה זה חושף ואיך ללחוץ על זה. מכיוון שהמודל לא מסרב למשימה, מהלך IDOR, בדיקת SQL injection או בדיקת בלבול JWT נכתבים כמו כל קוד אחר, כל עוד המטרה ב-scope שלכם. ה-reasoning עובר, אז זרימת auth בכמה שלבים נפתרת לפני שה-payload נכתב.

#payloads ובדיקות ל-proxy שלכם

בקשו את הפריט שהכלי שלכם משתמש בו, והמודל כותב אותו: Bambda או BCheck של Burp, workflow של Caido, tamper script של sqlmap, הלוגיקה להרצת ffuf, סקריפט requests קטן. בסיס הידע הוא חלק מהמודל, אז הוא מושך את OWASP WSTG, את ה-API Security Top 10, את ה-Cheat Sheet Series ואת תיעוד הכלים של Caido ו-Burp עם מקור ורישיון בכל קטע. גרסת framework שאתם מוצאים הולכת ל-lookup של CVE עם CVSS, EPSS ו-KEV, ותלות הולכת לחיפוש advisory, אף אחד מהם לא עולה טוקנים. התוצאה היא payload עם סיבה והפניה, לא ניחוש. אתם גם שומרים את כל הזרימה בשיחה אחת, מהתשובה המוזרה הראשונה ועד הטסט המוגמר, כך שההקשר שמסביר למה payload עובד לא הולך לאיבוד בין טאבים.

cat request.http | notholy "what auth checks is this endpoint missing, and write a Caido test for the IDOR"

#התעבורה נשארת שלכם

השרתים של NotHoly לעולם לא סורקים, בודקים או שולחים payload למטרה. הבקשות שבודקות את האפליקציה באות מה-proxy ומהסקריפטים שלכם, על המכונה שלכם, מהכתובת שלכם. כשאתם מפעילים מהטרמינל, notholy engage רושם את ה-scope שאתם רשאים לגעת בו ובודק כל פקודה מולו, וקורא העמודים פותח רק עמודים ציבוריים דרך יציאה שמסרבת לכתובות פרטיות ופנימיות. תוצאות כלי שאתם מחזירים מטופלות כנתון, אז payload משוקף בתשובה לא הופך להוראה למודל. המודל קורא; הכלים שלכם שולחים.

notholy kb "jwt none algorithm" --json

#איפה זה לא מתאים

זה לא scanner ולא תחליף ל-DAST או SAST. הוא לא יזחל על האפליקציה ולא ישגר את הבקשות, ו-payload מוצע יכול להיות פיתיון שקרי, אז אשרו אותו מול המטרה הרצה לפני שהוא נכנס לממצא. קורא העמודים פותח רק עמודים ציבוריים, לא endpoint מאומת ולא host פנימי. המודל יכול לטעות לגבי בדיקה או להמציא פרמטר, אז קראו את הבקשה שהוא כותב לפני ששולחים. קריאה נקייה אינה הוכחה שהאפליקציה בטוחה, והחשבון צריך אימייל.

תנו ל-proxy שלכם לשלוח את התעבורה ולמודל לקרוא את התשובות. התקינו את ה-CLI, הוסיפו יתרה קטנה בתמחור, והדביקו את הבקשה הראשונה.