api-pentest-simulator - Authorized API security & pentest simulation toolk

项目说明

API Gü & Pentest Simülasyon Araç Seti

🇹🇷 Türkçe · 🇬🇧 English

Web hedeflerinde backend/API/admin uç noktalarını keşfeden ın **güvenliğini,
erişim kontrolünü, sızıntılarını ve yanlış yapılandırmalarını** güvenli şekilde
(parola brute force yapmadan) test eden Python araç setidir.

> ⚠️ Yasal uyarı: Bu araçlar yalnızca sahibi olduğunuz veya yazılı izin aldığınız
> sistemlerde kullanılabilir. İzinsiz tarama çoğu ülkede suçtur. Tüm sorumluluk kullanıcıya aittir.

---

Ne test eder?

Sadece endpoint bulmakla kalmaz; bir siber gü uzmanının bakacağı noktalara bakar:

🔎 Keşif — derin crawl (HTML + JS), 400+ kelimelik wordlist, robots.txt + sitemap.xml

🔐 Erişim kontrolü — korumalı uç nokta yetkisiz erişime kapalı mı (401/403 vs 200)

🕵️ Yetkisiz erişim simülasyonu — geçersiz Bearer token ile davranış

🧩 IDOR / BOLA — komşu nesne kimliğine (id±1) erişim testi

💉 Parametre fuzzing — yansıyan XSS ve hata tabanlı SQLi sinyalleri

🌍 Subdomain keşfi — yaygın alt alan adlarını tarar

🔑 Kimlik doğrulamalı tarama — çerez / Bearer token / özel başlık ile oturumlu test

💧 Sızıntı tespiti — yanıt gö token/anahtar/JWT/AWS/GitHub/Stripe/PII (regex)

📂 Hassas dosya sondası — /.env, /.git/config, /backup.sql, /phpinfo.php (80+ yol)

🌐 CORS yanlış yapılandırması — yansıtılan Origin + credentials=true

🧱 Gü başlıkları — CSP, HSTS, X-Frame-Options, X-Content-Type-Options …

🛡️ WAF tespiti — Cloudflare, Sucuri, Akamai, ModSecurity imzaları

🔧 HTTP yöntemleri — açık PUT/DELETE/PATCH/TRACE (OPTIONS ile)

🐛 Hata sızıntısı — stack trace / ayrıntılı hata mesajları

🖥️ Teknoloji parmak izi — Server, X-Powered-By vb.

🚦 Rate-limit / bot koruması — 429 ve Retry-After davranışı

📁 Açık dizin listelemesi — Index of /

---

🚀 Hızlı Başlangıç (kod/flag bilmeden)

En kolay yol — çift tıkla, seçerek ilerle. Flag ezberlemeye gerek yok.

| Sistem | Çalıştır |
|--------|----------|
| Linux / macOS | ./run.sh (veya dosyaya çift tıkla) |
| Windows | run.bat'e çift tıkla · veya run.ps1 |

Başlatıcı: Python yoksa kurulum sunar (otomatik/manuel), eksik kütüphaneleri
arka planda sessizce kurar, sonra menüyü açar. Menüde ne yapmak istediğinizi
numarayla seçer, istenen değerleri (hedef, gecikme, token vb.) sırayla girersiniz;
araç kalanını otonom yapıp raporu yazar.

Çift tıklama notları:

Linux: run.sh bir terminale bağlı değilse kendini otomatik olarak bir terminal

penceresinde açar (gnome-terminal/konsole/xterm…). İlk sefer için dosyayı çalıştırılabilir
yapın: chmod +x run.sh. Dosya yöneticiniz .sh'yi editörde açıyorsa, ayarlardan
"çalıştırılabilir metin dosyaları: çalıştır/sor" yapın veya terminalden ./run.sh.

Windows: run.bat'e çift tıklamak kendi penceresini açar. run.ps1 için sağ tık →

"PowerShell ile çalıştır".

macOS: run.sh çift tıklanınca Terminal'de açılır (gerekirse Terminal'e izin verin).

Menüyü doğrudan da açabilirsiniz:

🧪 Güvenli yerel deneme ortamı

Gerçek bir siteye dokunmadan aracı denemek ister misiniz? Depoda yerleşik, **sadece
localhost'ta çalışan** bir test sunucusu var (çeşitli durum kodları, gü başlıkları,
auth sistemi, zararsız açık uç noktalar). Dış ağa kapalıdır, gerçek veri içermez.

Menüden de yönetebilirsiniz: interactive.py → "Yerel test sunucusu başlat/durdur".
Ayrıntı: ser.md.

Kurulum (elle / gelişmiş)

Gerekenler: Python 3.9+, requests, beautifulsoup4, colorama, urllib3.

---

Dosyalar

| Dosya | Ne yapar |
|-------|----------|
| interactive.py | Menü arayüzü. Flag bilmeden seçerek tarama; başlatıcılar bunu açar. |
| run.sh / run.bat / run.ps1 | Platform başlatıcıları (Python + kütüphane kurulumu + menü). |
| pentest_simulator.py | Ana motor. Tüm testleri çalıştırır, JSON + TXT + Markdown rapor üretir. |
| endpoint_tester.py | Tek bir endpoint'i veya listeyi derinlemesine test eder (veri sızıntısı odaklı). |
| extract_backend_endpoints.py | Var olan JSON rapordan sadece gerçek backend/API endpointlerini süzer. |
| wordlist.py | Ortak kelime listeleri, hassas veri desenleri, subdomain/fuzz . |
| safety.py | Yasal uyarı + yetki onayı kapısı. |
| server/ | Güvenli yerel test sunucusu (localhost deneme ortamı) + başlatıcıları. |
| status_code.txt | HTTP durum kodları referansı (raporları okurken hızlı bakış). |

Kök dizindeki .py dosyaları ince giriş noktalarıdır; gerçek kod pentestkit/ paketindedir.

🗂️ Proje yapısı (parçalı mimari)

Kod, göreve göre klasörlenmiş temiz bir pakette tutulur — okuması ve gü açısından
denetlemesi kolay olsun diye:

---

1) pentest_simulator.py — Ana araç

Modlar

| Mod | Kapsam |
|-----|--------|
| passive | Sadece crawl + robots/sitemap keşfi. Wordlist, OPTIONS, CORS, hassas dosya sondası yok. En sessiz. |
| discovery | passive + wordlist + OPTIONS + CORS + hassas dosya sondası. |
| active | discovery + yetkisiz erişim simülasyonu + rate-limit ölçümü. En kapsamlı. |

Parametreler

| Bayrak | Açıklama |
|--------|----------|
| --target | Test edilecek tek hedef URL. |
| --targets-file | Satır satır (veya virgülle) hedef listesi içeren dosya. |
| --mode | passive / discovery / active. ılan active. |
| --delay | İstekler arası gecikme (sn). Hedefi yormamak için. ılan 0. |
| --max-targets | Test edilecek maksimum hedef; 0 = sınırsız. |
| --max-pages | Taranacak maksimum sayfa; 0 = sınırsız. |
| --cookie | Oturum çerezi (kimlik doğrulamalı tarama). |
| --auth-token | Bearer token (otomatik Bearer eklenir). |
| --header | Ek özel başlık Ad: Değer; birden fazla kez kullanılabilir. |
| --method | Ana sonda yöntemi (GET/POST/…). Yazan yöntemler veri değiştirebilir! ılan GET. |
| --subdomains | Yaygın subdomain'leri keşfet (ek istek üretir). |
| --format | Rapor formatı: txt (ılan), json, md, html, xml; virgülle çoklu veya all. |
| --login-url | Otomatik giriş için login endpoint URL'si. |
| --login-data | Form (user=..&pass=..). |
| --login-json | JSON gövde ({"user":"..","pass":".."}). |
| --login-token-field | Giriş yanıtındaki token alan adı. ılan token. |
| --i-am-authorized | Yetki onayını bayrakla verir (etkileşimsiz/CI kullanımı için). |
| --output-dir | Rapor dizini. ılan reports. |

> Yetki kapısı: Araç her çalıştırmada yasal uyarıyı gösterir ve onay ister. Terminalde
> EVET yazmanız; script/CI'da --i-am-authorized bayrağı ya da PENTEST_SIM_AUTHORIZED=1
> ortam değişkeni gerekir. Onay yoksa tarama başlamaz.

> Not: Kimlik doğrulamalı tarama açıkken korumalı uç noktanın 200 dönmesi tek başına kritik sayılmaz
> (yetkiliyiz); araç bunu UYARI'ya indirir ve IDOR/BOLA testine yönelir.

Çıktı (reports/ içinde, klasör yoksa otomatik oluşturulur):

pentest_report_<domain>_<zaman>.json — tüm ham bulgular

pentest_summary_<domain>_<zaman>.txt — okunabilir özet

pentest_report_<domain>_<zaman>.md — Markdown rapor (tablo + kritik bulgular)

pentest_report_<domain>_<zaman>.html — tarayıcıda açılan görsel rapor (renkli, tema uyumlu)

pentest_report_<domain>_<zaman>.xml — makine-okunur XML

ılan txt (tek okunabilir özet — klasör şişmez). Hangi formatları istediğinizi
--format ile (veya menüde) seçin; örn. --format md,html, ya da hepsi için --format all.

Her kritik uç nokta için istek yöntemi (GET/POST/…), OPTIONS ile öğrenilen
izin yöntemler hassas veri / CORS / dosya sızıntısı gösterilir.

---

2) endpoint_tester.py — Tekil/liste testi

Belirli endpointleri derinlemesine test eder; JSON gö de tarayarak sızıntı arar.

Parametreler: --domain + --endpoint, veya --input-file; ayrıca --method, --output-dir.

---

3) extract_backend_endpoints.py — Rapordan süzme

Var olan bir pentest JSON raporundan sadece gerçek backend endpointleri çıkarır.

Çıktı: endpoint/<domain>.txt (her endpoint [YÖNTEM] etiketiyle).

---

Risk se

| Seviye | Anlamı |
|--------|--------|
| 🔴 KRİTİK | Korumalı uç nokta açık, hassas veri/dosya sızıntısı, CORS açığı. Hemen incele. |
| 🟡 UYARI | Erişilebilir/hassas olabilir, gözden geçir. |
| 🟢 İYİ | Korumalı uç nokta yetkisiz erişimi doğru reddediyor. |
| ⛔ HATA | 5xx sunucu hatası — olası yanlış yapılandırma. |
| ℹ️ BİLGİ | 404 vb. önemsiz durum. |

---

Örnek iş akışı

---

Testler

Testler ağ gerektirmez (sahte yanıtlarla saf fonksiyonları doğrular). CI her push/PR'de
Python 3.9–3.12 üzerinde çalışır (.github/workflows/ci.yml).

Yol haritası

[x] --delay / thread kontrolü ile nazik tarama.

[x] Ortak wordlist modülü (wordlist.py, 400+ kelime).

[x] Hassas dosya sondası (/.env, /.git …, 80+ yol).

[x] CORS yanlış yapılandırma kontrolü.

[x] Hassas veri / sır sızıntısı tespiti (regex: JWT/AWS/GitHub/Stripe/PII).

[x] robots.txt + sitemap.xml keşfi + Retry-After saygısı.

[x] Markdown rapor çıktısı.

[x] CMS-bağımsız (genel) backend tespiti.

[x] Kimlik doğrulamalı tarama (çerez/token/başlık ile oturum).

[x] IDOR/BOLA sondası (komşu nesne kimliği erişimi).

[x] Birim testleri + CI (GitHub Actions).

[x] Parametre bazlı fuzzing (SQLi/XSS reflection sinyalleri).

[x] Subdomain / sanal host keşfi.

[x] İnteraktif menü + platformlar arası başlatıcılar (kod bilmeden kullanım).

[x] Güvenli yerel test sunucusu (localhost deneme ortamı).

[x] HTML rapor (tarayıcıda açılan görsel, tema uyumlu).

[x] Kimlik doğrulamalı tarama için otomatik login (form/JSON).

⚖️ Sorumluluk & Çift Kullanım (ÖNEMLİ)

Bu araç çift kullanımlıdır: yetkili gü testi için güçlüdür, kötü niyetli
ellerde zararlı olabilir. Açıkça belirtiyoruz:

İzinsiz kullanım YASAKTIR. Yalnızca **sahibi olduğunuz veya açık yazılı izin

aldığınız** sistemlerde kullanın. İzinsiz tarama/erişim/veri toplama çoğu ülkede suçtur
(TR: TCK 243–246 bilişim suçları; ayrıca KVKK).

Sorumluluk reddi. Geliştirici(ler) bu aracın kullanımından veya kötüye

kullanımından doğan hiçbir zarardan sorumlu değildir (bkz. LICENSE).
Tüm hukuki ve etik sorumluluk tamamen kullanıcıya aittir.

Aracın sınırı. Bu araç şifre kırmaz, token çalmaz, kimlik doğrulamayı aşmaz.

Kendi başına kimseyi bir hesaba sokmaz.

Ama dürüst uyarı: Biri başka yoldan ele geçirdiği bir çerezi/token'ı

--cookie / --auth-token ile , araç o kimlikle çok sayıda uç noktayı farklı
HTTP yöntemleriyle (GET/POST/PUT/DELETE) otomatik gezip sıralayabilir ve IDOR ile
komşu kayıtlara uzanabilir. Yani çalınmış bir erişimi otomatik bir veri madenine
çe. Bu güç, sadece yetkili olduğunuz sistemlerde kullanılmak içindir.

Etik kullanım. Bulguları sorumlu şekilde bildirin (responsible disclosure). Başkalarının

görüntülemeyin, kopyalamayın, paylaşmayın.

Aracı çalıştırmak, bu koşulları kabul ettiğiniz anlamına gelir. Kabul etmiyorsanız kullanmayın.

Lisans

MIT — bkz. LICENSE. MIT lisansı yazılımı "OLDUĞU GİBİ", garantisiz sunar ve
geliştiriciyi her türlü sorumluluktan muaf tutar.

项目信息

开发语言：Python

Star 数：1

技术要点

该项目属于防护思路方向的开源资源，代码结构清晰，适合安全研究人员学习参考。项目围绕Authorized API security & pentest simulation toolkit — menu-driven, cross-platform, TR/EN (educational/defensive).展开，提供了可运行的实现，对理解相关安全机制、工具原理与攻防技术具有较高的研究价值。

从技术实现角度看，此类项目的核心在于对底层原理的深入理解与工程化落地。开发者在研究过程中可以结合官方文档与社区讨论，梳理项目的初始化流程、核心模块职责与数据流转，逐步掌握其中的技术细节与设计思路。

使用与学习建议

1. 下载源码压缩包，解压到本地环境。

2. 根据项目类型准备对应的运行环境与依赖。

3. 按照 README 中的步骤完成配置与部署。

4. 在隔离的测试环境中运行验证，避免影响生产系统。

免责声明

本资源来源于开源社区，仅供安全研究、技术学习与合法授权范围内的攻防演练使用，请勿用于任何非法或侵害他人权益的用途。使用本项目产生的一切后果由使用者自行承担。