AuthSniper

终极 AST 驱动的 API BOLA/IDOR 漏洞探测工具

功能 • 安装 • 用法 • 工作原理

## 🎯 概述 **AuthSniper** 是一款高性能、并发式的 CLI 工具，专为漏洞赏金猎人与渗透测试人员设计，用于自动化发现现代 API 中的 **BOLA（Broken Object Level Authorization）** 与 **IDOR** 漏洞。 与依赖简单字符串长度比较的传统工具（会产生大量误报）不同，AuthSniper 内部将 JSON 响应转换为 **抽象语法树（AST）**。它通过比较受害者响应与攻击者响应的结构拓扑，完全消除了因动态数据（如时间戳、UUID 或变化的整数）导致的误报。 ## ✨ 功能 - **原始 HTTP 解析**：原生支持解析 Burp Suite 的 HTTP 导出（POST、PUT、自定义头部、JSON 正文）。 - **AST 差异引擎**：在动态 JSON 端点上实现 0% 误报率。比较结构化的键与数据类型，而非原始值。 - **工作池机制**：高度优化的 Goroutine 并发。提交 10,000 个 URL 也能安全处理。 - **CI/CD 友好**：将易受攻击的端点直接输出为标准 `.jsonl` 文件，便于与 `jq` 或通知管道集成。 - **未授权验证**：自动发起第三个并发请求（未认证），确保目标并非公开端点。 ## 🚀 安装 确保已安装 [Go](https://golang.org/)，然后运行： ``` git clone https://github.com/Mutasem-mk4/AuthSniper.git cd AuthSniper go build -o authsniper ./cmd/authsniper/main.go ``` ## 🛠️ 用法 ### 1. 精准打击（原始 HTTP 解析） 从 Burp Suite 导出一个原始 HTTP 请求（例如 `req.txt`）。AuthSniper 将对其进行深度克隆并积极替换令牌。 ``` ./authsniper -r req.txt -t1 "Bearer victim_token" -t2 "Bearer attacker_token" ``` ### 2. 大规模漏洞赏金自动化（JSONL 格式输出） 指定并发工作数 `-c`，并将结果流式输出到文件 `-o` 以供流水线使用。 ``` ./authsniper -r req.txt -t1 "Bearer victim" -t2 "Bearer attacker" -c 50 -o findings.jsonl ``` ### 参数说明 | 参数 | 描述 | | ---- | ----------- | | `-r` | 原始 HTTP 请求文件（Burp/ZAP 导出） | | `-t1` | 受害者的授权令牌 / Cookie | | `-t2` | 攻击者的授权令牌 / Cookie | | `-c` | 并发工作数（默认：10） | | `-o` | 确认漏洞的输出文件（JSONL） | ## 🧠 AST 引擎（为何选择 AuthSniper？） 在处理现代 API 时，动态噪声（时间戳、CSRF 令牌、变化的 ID）会破坏基于长度的 BOLA 扫描器。 AuthSniper 将： `{"id": 1, "balance": 500, "date": "2026-04"}` （受害者响应） `{"id": 2, "balance": 999, "date": "2026-05"}` （攻击者响应） 转换为结构归一化的骨架： `{"id": NUMBER, "balance": NUMBER, "date": STRING}` `{"id": NUMBER, "balance": NUMBER, "date": STRING}` AuthSniper 识别到底层结构为完全 **100% 匹配**，证明攻击者成功获取了属于受害者的结构化数据。BOLA 确认！ ## 📜 许可证 MIT 许可证 - 版权所有 (c) 2026 Mutasem-mk4 ## 关于作者 **由 [Mutasem Kharma](https://github.com/Mutasem-mk4)** 开发，他是一名专注于 eBPF、AI 驱动的安全框架与自动化漏洞狩猎的安全工程师与开源工具匠。 探索更多项目与技术深度分析请访问 **[mutasem-portfolio.vercel.app](https://mutasem-portfolio.vercel.app/)**。

标签：API安全, AST抽象语法树, BOLA, Bug Bounty, Burp Suite导出, Go语言, HTTP解析, IDOR, JSON解析, JSON输出, 可自定义解析器, 并发, 无认证验证, 日志审计, 程序破解, 红队操作, 认证安全, 重放攻击, 零误报