Åpen kildekode · Pentest

Supabase-pwn

Et nettbasert verktøy for å penteste apper som kjører på Supabase. Pek det mot et prosjekt med en API-nøkkel og let etter feilkonfigurasjoner: eksponerte tabeller, ødelagt RLS, åpne registreringer og lekke storage-buckets.

Se på GitHub →

Jeg bygde supabase-pwn for å gjøre sikkerhetstesting av Supabase enklere, inspirert av firepwn-tool for Firebase. Det kjører lokalt hos deg: du kobler til med prosjekt-URL og nøkkel, og begynner å probe. Nøkkeltypen (publishable, secret, anon eller service role) oppdages automatisk.

⚠ Kun for autorisert testing

Dette er et offensivt verktøy. Test bare Supabase-prosjekter du selv eier, eller har skriftlig tillatelse til å teste.

Hva det gjør

Database Explorer: SELECT, INSERT, UPDATE og DELETE mot tabeller, med filterbygger og automatisk utfylling.
Table Bruteforcer: gjett vanlige tabellnavn når skjemaet er blokkert.
Storage Explorer: list buckets, bla i filer, og test opplasting, nedlasting og signerte URL-er.
Auth-probing: test registrering, innlogging, anonym auth og OAuth-omdirigeringer.
Edge Functions og Realtime: kall funksjoner og abonner på endringer i sanntid.
Autopwn: automatisk skanning av RLS, storage, auth og edge functions, med en fargekodet tilgangsmatrise.

Kom i gang

Klon repoet, installer og kjør lokalt. Åpne localhost, lim inn prosjekt-URL og API-nøkkel, og trykk Initialize.

git clone https://github.com/BobTheShoplifter/supabase-pwn.git
cd supabase-pwn
npm install
npm run dev

Trenger du hjelp?

Usikker på om Supabase-oppsettet ditt er trygt?

Jeg gjør sikkerhetsgjennomganger og pentesting for bedrifter, også av Supabase, API-er og skyoppsett. Ta kontakt, så ser vi på det sammen.

Ta kontakt →