בית » כלי לינוקס » דאלפוקס – ניתוח פרמטרים & הדרכה לגלאי XSS
כלי לינוקס

דאלפוקס – ניתוח פרמטרים & הדרכה לגלאי XSS

על ידי הסויאש
נכתב על ידי הסויאש
dalfox

דאלפוקס הוא כלי מדהים לניתוח פרמטרים וסריקת XSS.

דאלפוקס מתכוון בדרך כלל,

דאל = ירח (הגייה קוריאנית ) ; פוקס = מצא של XSS.

תכונות Dalfox:

  • ניתוח פרמטרים (למצוא פרמטר משתקף, למצוא דמויות חופשיות/גרועות, זיהוי נקודת ההזרקה)
  • ניתוח סטטי (סמן Bad-header כמו CSP, אפשרויות X-Frame, וכו '. עם בסיס בקשה/תגובה בסיס)
  • שאילתת אופטימיזציה של מטענים
    • בדוק את נקודת ההזרקה באמצעות הפשטה ויצר את המטען המתאים.
    • הסר עומסים מיותרים המבוססים על char גרוע
  • סריקת XSS(משתקף + מְאוּחסָן) ו-DOM Base Verifying
  • כל מטעני הבדיקה(מובנה, מותאם אישית/עיוור שלך) נבדקים במקביל למקודד.
    • תמיכה במקודד כתובת URL כפולה
    • תמיכה ב-HTML Hex Encoder
  • צינור ידידותי (כתובת אתר בודדת, מתוך קובץ, מ-IO)
  • והאפשרויות השונות הנדרשות לבדיקה 😀
    • שליטה מובנית/מותאמת אישית כדי למצוא פגיעות אחרת
    • אם מצאת, לאחר פעולה
    • וכו '.

בחירת העורך:

כיצד להתקין את Dalfox?

ישנן שלוש דרכים להתקין את Dalfox.

אתה יכול להשתמש בכל אחד מהם.

1. עבור-התקן

  1. ראשית, פשוט תשכפל את המאגר הזה.
$ git clone https://github.com/hahwul/dalfox
  1. התקן בנתיב Dalfox משובט
$ go install
  1. שימוש בדלפוקס
$ ~/go/bin/dalfox

2. לך-קבל

  1. לך לקחת דאלפוקס!
$ go get -u github.com/hahwul/dalfox
  1. שימוש בדלפוקס
$ ~/go/bin/dalfox

3. גרסת שחרור

  1. פתח את דף המהדורה האחרונה https://github.com/hahwul/dalfox/releases/latest
  2. הורד קובץ הורד וחלץ את הקובץ המתאים למערכת ההפעלה שלך.
  3. אתה יכול לשים אותו בספריית הביצוע ולהשתמש בו. לְמָשָׁל
$ cp dalfox /usr/bin/

שימוש ב-Dalfox:

    _..._
  .' .::::.   __   _   _    ___ _ __ __
 :  :::::::: |  \ / \ | |  | __/ \\ V /
 :  :::::::: | o ) o || |_ | _( o )) (
 '. '::::::' |__/|_n_||___||_| \_//_n_\
   '-.::''
Parameter Analysis and XSS Scanning tool based on golang
Finder Of XSS and Dal is the Korean pronunciation of moon. @hahwul


Usage:
  dalfox [command]

Available Commands:
  file        Use file mode(targets list or rawdata)
  help        Help about any command
  pipe        Use pipeline mode
  sxss        Use Stored XSS mode
  update      Update DalFox (Binary patch)
  url         Use single target mode
  version     Show version

Flags:
  -b, --blind string            Add your blind xss (e.g -b hahwul.xss.ht)
      --config string           Using config from file
  -C, --cookie string           Add custom cookie
      --custom-payload string   Add custom payloads from file
  -d, --data string             Using POST Method and add Body data
      --delay int               Milliseconds between send to same host (1000==1s)
      --found-action string     If found weak/vuln, action(cmd) to next
      --grep string             Using custom grepping file (e.g --grep ./samples/sample_grep.json)
  -H, --header string           Add custom headers
  -h, --help                    help for dalfox
      --ignore-return string    Ignore scanning from return code (e.g --ignore-return 302,403,404)
      --only-discovery          Only testing parameter analysis
  -o, --output string           Write to output file
      --output-format string    -o/--output 's format (txt/json/xml)
  -p, --param string            Only testing selected parameters
      --proxy string            Send all request to proxy server (e.g --proxy http://127.0.0.1:8080)
      --silence                 Not printing all logs
      --timeout int             Second of timeout (default 10)
      --user-agent string       Add custom UserAgent
  -w, --worker int              Number of worker (default 40)

$ dalfox [mode] [flags]

מצב יעד בודד

$ dalfox url http://testphp.vulnweb.com/listproducts.php\?cat\=123\&artist\=123\&asdf\=ff -b https://hahwul.xss.ht

מצב יעד מרובה מהקובץ

$ dalfox file urls_file --custom-payload ./mypayloads.txt

מצב צינור

$ cat urls_file | dalfox pipe -H "AuthToken: bbadsfkasdfadsf87"

הורד את Dalfox:

dalfox

סיכום:

דאלפוקס הוא כלי מדהים שאתה יכול להשתמש בו.

אם מצאתם ערך במאמר זה. הקפד להגיב למטה ולהגביר את ההתלהבות של הצוות שלנו.

אתה יכול גם לתת הצעות או שאלות לגבי כלי זה.

הצוות שלנו ינסה לענות לך בהקדם האפשרי.

זו סויאש מהודו. חובב אבטחת סייבר, יוטיובר, בלוגר, פרילנסר ופנטסטר. בדרך כלל הוא כותב מאמרים כדי לחלוק את הידע שלו עם העולם.

השאר תגובה

שמור את השם שלי, אימייל, ואתר בדפדפן הזה לפעם הבאה שאגיב.