Dalfox – Análise de Parâmetros & Tutorial do detector XSS

6.8K

Dalfox é uma incrível ferramenta de análise de parâmetros e digitalização XSS.

Dalfox normalmente significa,

Dal = lua (Pronúncia coreana ) ; Fox = descoberta de XSS.

Recursos do Dalfox:

• Análise de Parâmetros (encontrar parâmetro refletido, encontre personagens livres/maus, Identificação do ponto de injeção)
• Análise Estática (Verifique o cabeçalho incorreto como CSP, Opções de X-Frame, etc.. com base de solicitação/resposta base)
• Consulta de otimização de cargas úteis
  • Verifique o ponto de injeção por meio de abstração e gere a carga útil adequada.
  • Elimine cargas desnecessárias com base em caracteres ruins
• Digitalização XSS(Refletido + Armazenado) e verificação de base DOM
• Todas as cargas de teste(embutido, seu personalizado/cego) são testados em paralelo com o codificador.
  • Suporte para codificador de URL duplo
  • Suporte para codificador HTML Hex
• Pipeline amigável (URL único, de um arquivo, de IO)
• E as diversas opções necessárias para o teste 😀
  • grpping integrado/personalizado para encontrar outras vulnerabilidades
  • se você encontrou, depois da ação
  • etc..

---

Escolha dos editores:

• Macof – ferramenta definitiva de inundação | Tutorial[2020]
• NWAnime – Melhores alternativas de NWAnime [2020]
• CCMAKER – Baixe o kit final de pirataria da Adobe[2020]
• LOSMOVIES – O melhor site de streaming de filmes do mundo

---

Como instalar Dalfox?

Existem três maneiras de instalar o Dalfox.

Você pode usar qualquer um deles.

1. Vá instalar

1. Primeiro simplesmente clone este repositório.

$ git clone https://github.com/hahwul/dalfox

2. Instalar no caminho Dalfox clonado

$ go install

3. Usando Dalfox

$ ~/go/bin/dalfox

2. Vá-pegue

1. vá buscar Dalfox!

$ go get -u github.com/hahwul/dalfox

2. Usando Dalfox

$ ~/go/bin/dalfox

3. Versão de lançamento

1. Abra a página de lançamento mais recente https://github.com/hahwul/dalfox/releases/latest
2. Baixar arquivo Baixe e extraia o arquivo adequado ao seu sistema operacional.
3. Você pode colocá-lo no diretório de execução e usá-lo. por exemplo

$ cp dalfox /usr/bin/

Uso de Dalfox:

    _..._
  .' .::::.   __   _   _    ___ _ __ __
 :  :::::::: |  \ / \ | |  | __/ \\ V /
 :  :::::::: | o ) o || |_ | _( o )) (
 '. '::::::' |__/|_n_||___||_| \_//_n_\
   '-.::''
Parameter Analysis and XSS Scanning tool based on golang
Finder Of XSS and Dal is the Korean pronunciation of moon. @hahwul


Usage:
  dalfox [command]

Available Commands:
  file        Use file mode(targets list or rawdata)
  help        Help about any command
  pipe        Use pipeline mode
  sxss        Use Stored XSS mode
  update      Update DalFox (Binary patch)
  url         Use single target mode
  version     Show version

Flags:
  -b, --blind string            Add your blind xss (e.g -b hahwul.xss.ht)
      --config string           Using config from file
  -C, --cookie string           Add custom cookie
      --custom-payload string   Add custom payloads from file
  -d, --data string             Using POST Method and add Body data
      --delay int               Milliseconds between send to same host (1000==1s)
      --found-action string     If found weak/vuln, action(cmd) to next
      --grep string             Using custom grepping file (e.g --grep ./samples/sample_grep.json)
  -H, --header string           Add custom headers
  -h, --help                    help for dalfox
      --ignore-return string    Ignore scanning from return code (e.g --ignore-return 302,403,404)
      --only-discovery          Only testing parameter analysis
  -o, --output string           Write to output file
      --output-format string    -o/--output 's format (txt/json/xml)
  -p, --param string            Only testing selected parameters
      --proxy string            Send all request to proxy server (e.g --proxy http://127.0.0.1:8080)
      --silence                 Not printing all logs
      --timeout int             Second of timeout (default 10)
      --user-agent string       Add custom UserAgent
  -w, --worker int              Number of worker (default 40)

$ dalfox [mode] [flags]

Modo de alvo único

$ dalfox url http://testphp.vulnweb.com/listproducts.php\?cat\=123\&artist\=123\&asdf\=ff -b https://hahwul.xss.ht

Modo de destino múltiplo do arquivo

$ dalfox file urls_file --custom-payload ./mypayloads.txt

Modo pipeline

$ cat urls_file | dalfox pipe -H "AuthToken: bbadsfkasdfadsf87"

BaixarDalfox:

Conclusão:

Dalfox é uma ferramenta incrível que você pode usar.

Se você encontrou valor neste artigo. Não deixe de comentar abaixo e aumentar o entusiasmo de nossa equipe.

Você também pode dar sugestões ou dúvidas sobre esta ferramenta.

Nossa equipe tentará responder o mais breve possível.