Dalfox – Анализ параметров & Детектор XSS Учебник

6K

Dalfox это потрясающий инструмент для анализа параметров и сканирования XSS.

Dalfox обычно означает,

Dal = луна (Корейское произношение ) ; Fox = Находка XSS.

Особенности Dalfox:

• Анализ параметров (найти отраженный параметр, найти бесплатных / плохих персонажей, Идентификация точки впрыска)
• Статический анализ (Отметьте плохой заголовок, например CSP, X-Frame-варианты, и т.п.. с базовой базой запросов / ответов)
• Оптимизационный запрос полезной нагрузки
  • Проверить точку впрыска через абстракцию и сгенерировать подходящую полезную нагрузку.
  • Устранение ненужных данных на основе плохих символов
• XSS сканирование(Отражено + Хранится) и проверка базы DOM
• Все тестовые данные(встроенный, ваш обычай / слепой) тестируются параллельно с энкодером.
  • Поддержка двойного кодировщика URL
  • Поддержка HTML Hex Encoder
• Дружественный трубопровод (единый URL, из файла, из IO)
• И различные варианты, необходимые для тестирования 😀
  • встроенный / настраиваемый поиск других уязвимостей
  • если вы нашли, после действия
  • и т.п..

---

Выбор редактора:

• Macof - лучший инструмент для наводнения | Руководство[2020]
• NWAnime - Лучшие альтернативы NWAnime [2020]
• CCMAKER - Загрузить Ultimate Adobe Piracy Kit[2020]
• LOSMOVIES - лучший онлайн-сайт для просмотра фильмов

---

Как установить Dalfox?

Установить Dalfox можно тремя способами..

Вы можете использовать любой из них.

1. Go-Install

1. Сначала просто клонируйте этот репозиторий.

$ git clone https://github.com/hahwul/dalfox

2. Установить в клонированный путь Dalfox

$ go install

3. Использование dalfox

$ ~/go/bin/dalfox

2. Иди возьми

1. иди и возьми Dalfox!

$ go get -u github.com/hahwul/dalfox

2. Использование dalfox

$ ~/go/bin/dalfox

3. Версия выпуска

1. Открыть страницу последней версии https://github.com/hahwul/dalfox/releases/latest
2. Загрузить файл Загрузите и извлеките файл, подходящий для вашей ОС.
3. Вы можете поместить его в каталог выполнения и использовать. например

$ cp dalfox /usr/bin/

Использование Dalfox:

    _..._
  .' .::::.   __   _   _    ___ _ __ __
 :  :::::::: |  \ / \ | |  | __/ \\ V /
 :  :::::::: | o ) o || |_ | _( o )) (
 '. '::::::' |__/|_n_||___||_| \_//_n_\
   '-.::''
Parameter Analysis and XSS Scanning tool based on golang
Finder Of XSS and Dal is the Korean pronunciation of moon. @hahwul


Usage:
  dalfox [command]

Available Commands:
  file        Use file mode(targets list or rawdata)
  help        Help about any command
  pipe        Use pipeline mode
  sxss        Use Stored XSS mode
  update      Update DalFox (Binary patch)
  url         Use single target mode
  version     Show version

Flags:
  -b, --blind string            Add your blind xss (e.g -b hahwul.xss.ht)
      --config string           Using config from file
  -C, --cookie string           Add custom cookie
      --custom-payload string   Add custom payloads from file
  -d, --data string             Using POST Method and add Body data
      --delay int               Milliseconds between send to same host (1000==1s)
      --found-action string     If found weak/vuln, action(cmd) to next
      --grep string             Using custom grepping file (e.g --grep ./samples/sample_grep.json)
  -H, --header string           Add custom headers
  -h, --help                    help for dalfox
      --ignore-return string    Ignore scanning from return code (e.g --ignore-return 302,403,404)
      --only-discovery          Only testing parameter analysis
  -o, --output string           Write to output file
      --output-format string    -o/--output 's format (txt/json/xml)
  -p, --param string            Only testing selected parameters
      --proxy string            Send all request to proxy server (e.g --proxy http://127.0.0.1:8080)
      --silence                 Not printing all logs
      --timeout int             Second of timeout (default 10)
      --user-agent string       Add custom UserAgent
  -w, --worker int              Number of worker (default 40)

$ dalfox [mode] [flags]

Режим одиночной цели

$ dalfox url http://testphp.vulnweb.com/listproducts.php\?cat\=123\&artist\=123\&asdf\=ff -b https://hahwul.xss.ht

Множественный целевой режим из файла

$ dalfox file urls_file --custom-payload ./mypayloads.txt

Трубопроводный режим

$ cat urls_file | dalfox pipe -H "AuthToken: bbadsfkasdfadsf87"

Скачать Dalfox:

Вывод:

Dalfox замечательный инструмент, который можно использовать.

Если вы нашли значение в этой статье. Обязательно оставьте комментарий ниже и поднимите энтузиазм нашей команды.

Вы также можете дать любые предложения или вопросы по этому инструменту.

Наша команда постарается ответить вам как можно скорее.