Dalfoxa – Analiza parametrów & Poradnik dotyczący detektora XSS

6.8k

Dalfoxa to niesamowite narzędzie do analizy parametrów i skanowania XSS.

Dalfox zazwyczaj oznacza,

Dal = księżyc (Koreańska wymowa ) ; Lis = Znalezisko XSS.

Funkcje Dalfoxa:

• Analiza parametrów (znajdź odzwierciedlony parametr, znajdź wolne/złe postacie, Identyfikacja punktu wtrysku)
• Analiza statyczna (Sprawdź uszkodzony nagłówek, np. CSP, Opcje X-Frame, itp.. z podstawową bazą żądań/odpowiedzi)
• Zapytanie optymalizacyjne dotyczące ładunków
  • Sprawdź punkt wtrysku poprzez abstrakcję i wygeneruj pasujący ładunek.
  • Wyeliminuj niepotrzebne ładunki w oparciu o zły znak
• Skanowanie XSS(Odbicie + Przechowywane) i weryfikacja bazy DOM
• Wszystkie ładunki testowe(wbudowany, Twój niestandardowy/ślepy) są testowane równolegle z enkoderem.
  • Obsługa podwójnego kodera URL
  • Obsługa kodera szesnastkowego HTML
• Przyjazny rurociąg (pojedynczy adres URL, z pliku, z IO)
• I różne opcje wymagane do testów 😀
  • wbudowane/niestandardowe grepping w celu znalezienia innej luki
  • jeśli znalazłeś, po akcji
  • itp..

---

Wybór redaktora:

• Macof – najlepsze narzędzie do powodzi | Instruktaż[2020]
• NWAnime – najlepsze alternatywy dla NWAnime [2020]
• CCMAKER — pobierz kompletny zestaw do piractwa firmy Adobe[2020]
• LOSMOVIES – najlepsza istniejąca witryna do strumieniowego przesyłania filmów

---

Jak zainstalować Dalfoxa?

Istnieją trzy sposoby instalacji Dalfoxa.

Możesz użyć dowolnego z nich.

1. Przejdź do instalacji

1. Najpierw po prostu sklonuj to repozytorium.

$ git clone https://github.com/hahwul/dalfox

2. Zainstaluj w sklonowanej ścieżce Dalfox

$ go install

3. Używając Dalfoxa

$ ~/go/bin/dalfox

2. Idź-Get

1. idź po Dalfoxa!

$ go get -u github.com/hahwul/dalfox

2. Używając Dalfoxa

$ ~/go/bin/dalfox

3. Wydanie wersji

1. Otwórz stronę najnowszej wersji https://github.com/hahwul/dalfox/releases/latest
2. Pobierz plik Pobierz i rozpakuj plik pasujący do Twojego systemu operacyjnego.
3. Możesz umieścić go w katalogu wykonawczym i użyć go. np

$ cp dalfox /usr/bin/

Korzystanie z Dalfoxa:

    _..._
  .' .::::.   __   _   _    ___ _ __ __
 :  :::::::: |  \ / \ | |  | __/ \\ V /
 :  :::::::: | o ) o || |_ | _( o )) (
 '. '::::::' |__/|_n_||___||_| \_//_n_\
   '-.::''
Parameter Analysis and XSS Scanning tool based on golang
Finder Of XSS and Dal is the Korean pronunciation of moon. @hahwul


Usage:
  dalfox [command]

Available Commands:
  file        Use file mode(targets list or rawdata)
  help        Help about any command
  pipe        Use pipeline mode
  sxss        Use Stored XSS mode
  update      Update DalFox (Binary patch)
  url         Use single target mode
  version     Show version

Flags:
  -b, --blind string            Add your blind xss (e.g -b hahwul.xss.ht)
      --config string           Using config from file
  -C, --cookie string           Add custom cookie
      --custom-payload string   Add custom payloads from file
  -d, --data string             Using POST Method and add Body data
      --delay int               Milliseconds between send to same host (1000==1s)
      --found-action string     If found weak/vuln, action(cmd) to next
      --grep string             Using custom grepping file (e.g --grep ./samples/sample_grep.json)
  -H, --header string           Add custom headers
  -h, --help                    help for dalfox
      --ignore-return string    Ignore scanning from return code (e.g --ignore-return 302,403,404)
      --only-discovery          Only testing parameter analysis
  -o, --output string           Write to output file
      --output-format string    -o/--output 's format (txt/json/xml)
  -p, --param string            Only testing selected parameters
      --proxy string            Send all request to proxy server (e.g --proxy http://127.0.0.1:8080)
      --silence                 Not printing all logs
      --timeout int             Second of timeout (default 10)
      --user-agent string       Add custom UserAgent
  -w, --worker int              Number of worker (default 40)

$ dalfox [mode] [flags]

Tryb pojedynczego celu

$ dalfox url http://testphp.vulnweb.com/listproducts.php\?cat\=123\&artist\=123\&asdf\=ff -b https://hahwul.xss.ht

Tryb wielu celów z pliku

$ dalfox file urls_file --custom-payload ./mypayloads.txt

Tryb potokowy

$ cat urls_file | dalfox pipe -H "AuthToken: bbadsfkasdfadsf87"

Pobierz Dalfoxa:

Wniosek:

Dalfoxa to niesamowite narzędzie, z którego możesz skorzystać.

Jeśli znalazłeś wartość w tym artykule. Nie zapomnij skomentować poniżej i zwiększyć entuzjazm naszego zespołu.

Możesz także przekazać wszelkie sugestie lub pytania dotyczące tego narzędzia.

Nasz zespół postara się odpowiedzieć Ci tak szybko, jak to możliwe.