REST-ler: تحلیل فازی خودکار هوشمند REST API

فهرست مطالب

• 1 مقدمه
• 2 روش‌شناسی REST-ler
  • 2.1 تحلیل ایستا از مشخصات Swagger
  • 2.2 تحلیل فیدبک پویا
• 3 پیاده‌سازی فنی
  • 3.1 الگوریتم استنتاج وابستگی
  • 3.2 راهبردهای جستجو
• 4 نتایج آزمایشی
  • 4.1 مطالعه موردی GitLab
  • 4.2 آمار کشف باگ
• 5 تحلیل تخصصی
• 6 کاربردهای آینده
• 7 منابع

1 مقدمه

سرویس‌های ابری رشد انفجاری را تجربه کرده‌اند و پلتفرم‌هایی مانند Amazon Web Services و Microsoft Azure به نیروهای مسلط در عرصه رایانش تبدیل شده‌اند. امروزه اکثر سرویس‌های ابری از طریق REST APIها قابل دسترسی هستند و Swagger (OpenAPI) به عنوان محبوب‌ترین زبان توصیف رابط ظهور کرده است. REST-ler یک پیشرفت انقلابی به عنوان اولین ابزار تست امنیتی هوشمند خودکار REST API است که مشخصات Swagger را تحلیل می‌کند تا تست‌های جامعی برای سرویس‌های ابری تولید کند.

2 روش‌شناسی REST-ler

2.1 تحلیل ایستا از مشخصات Swagger

REST-ler تحلیل ایستای سبک‌وزنی روی مشخصات Swagger انجام می‌دهد تا وابستگی‌های بین انواع درخواست را استنتاج کند. این سیستم روابطی را شناسایی می‌کند که در آن درخواست B به شناسه منبع بازگشتی از درخواست A نیاز دارد و وابستگی‌های ترتیب اجرا را ایجاد می‌کند. این تحلیل به طور قابل توجهی فضای جستجو را با حذف توالی‌های درخواست نامعتبر کاهش می‌دهد.

2.2 تحلیل فیدبک پویا

این ابزار به طور مداوم پاسخ‌های اجراهای تست قبلی را تحلیل می‌کند تا راهبرد تست خود را تطبیق دهد. هنگامی که REST-ler می‌آموزد که توالی‌های درخواست خاصی (مثلاً درخواست C پس از توالی A;B) به طور مداوم توسط سرویس رد می‌شوند، از این ترکیبات در تست‌های آینده اجتناب می‌کند و منابع محاسباتی را بر روی نواحی امیدوارکننده‌تر متمرکز می‌سازد.

3 پیاده‌سازی فنی

3.1 الگوریتم استنتاج وابستگی

استنتاج وابستگی از روش‌های رسمی برای ایجاد روابط بین نقاط انتهایی API استفاده می‌کند. این الگوریتم را می‌توان به صورت ریاضی نمایش داد:

فرض کنید $R = \{r_1, r_2, ..., r_n\}$ مجموعه درخواست‌های API باشد

فرض کنید $D(r_i, r_j)$ رابطه وابستگی را نشان دهد که در آن $r_j$ به $r_i$ وابسته است

$D(r_i, r_j) = \begin{cases} 1 & \text{if } \exists p \in \text{output}(r_i) \cap \text{input}(r_j) \\ 0 & \text{otherwise} \end{cases}$

3.2 راهبردهای جستجو

REST-ler چندین راهبرد جستجو را که از رویکردهای تست مبتنی بر مدل الهام گرفته شده‌اند پیاده‌سازی می‌کند:

• اکتشاف اول سطح از فضای حالت API
• جستجوی با عمق محدود با بازگشت به عقب
• انتخاب راهبرد تطبیقی مبتنی بر الگوهای پاسخ

function generateTestSequence(swaggerSpec):
    dependencies = inferDependencies(swaggerSpec)
    testSequences = []
    
    for each root request in dependencies:
        sequence = [root]
        while canExtend(sequence):
            nextRequests = getValidNextRequests(sequence, dependencies)
            selected = selectNextRequest(nextRequests, strategy)
            sequence.append(selected)
        testSequences.append(sequence)
    
    return testSequences

4 نتایج آزمایشی

4.1 مطالعه موردی GitLab

REST-ler برای تست GitLab، یک سرویس Git خودمیزباند منبع‌باز بزرگ با یک REST API پیچیده به کار گرفته شد. این ابزار با فازینگ سیستماتیک نقاط انتهایی API، موفق به شناسایی چندین آسیب‌پذیری ناشناخته قبلی شد.

4.2 آمار کشف باگ

5 تحلیل تخصصی

6 کاربردهای آینده

روش‌شناسی REST-ler پتانسیل قابل توجهی فراتر از پیاده‌سازی فعلی خود دارد:

• امنیت API سازمانی: ادغام در خطوط لوله CI/CD برای تست امنیتی مداوم API
• ابزارهای ارائه‌دهنده ابری: پیاده‌سازی بومی در پلتفرم‌های ابری مانند AWS و Azure
• اعتبارسنجی طراحی API: استفاده از تحلیل وابستگی برای شناسایی طراحی‌های API معیوب
• تست انطباق: تأیید خودکار انطباق API با استانداردهایی مانند OpenAPI
• معماری میکروسرویس‌ها: کاربرد در اکوسیستم‌های پیچیده میکروسرویس‌ها با چندین API به هم پیوسته

7 منابع

1. Fielding, R. T. (2000). Architectural Styles and the Design of Network-based Software Architectures. Doctoral dissertation, University of California, Irvine.
2. OWASP ZAP Project. (2023). OWASP Zed Attack Proxy.
3. Burp Suite. (2023). PortSwigger Web Security.
4. GitLab Inc. (2023). GitLab REST API Documentation.
5. Swagger/OpenAPI Initiative. (2023). OpenAPI Specification.
6. Microsoft Research. (2018). SAGE: Whitebox Fuzzing for Security Testing.
7. Cadar, C., et al. (2008). KLEE: Unassisted and Automatic Generation of High-Coverage Tests for Complex Systems Programs.
8. American Fuzzy Lop. (2023). AFL Fuzzer.
9. TensorFuzz: Debugging Neural Networks with Coverage-Guided Fuzzing. (2019). ICML.
10. Model-Based Testing. (2010). Springer-Verlag.