Автоматизация поиска XSS уязвимостей

Автоматизация поиска XSS уязвимостей

При участии в программе вознаграждения Баг Баунти, нам часто приходится искать XSS-язвимости сайтов. Сегодня я познакомлю вас с несколькими полезными инструментами для автоматизация поиска XSS-уязвимостей в веб-приложениях.

Еще по теме: Расширения хакера для браузера Firefox

Автоматизация поиска XSS уязвимостей

В качестве цели, чтобы не нарушать закон, будем использовать специально предназначенный для этого уязвимый сайт:

Итак, рассмотрим лучшие инструменты для автоматизация поиска XSS-уязвимостей в веб-приложениях.

Bug Bounty — это программа, которую владелец сайта проводит для привлечения сторонних специалистов к поиску уязвимостей. При участии в программе Баг Баунти нужно действовать этично и придерживаться установленных правил. Не стоит забывать, что несанкционированный взлом является незаконным и расценивается, как уголовное преступление. Ни редак­ция spy-soft.net, ни автор не несут ответс­твен­ность за ваши действия.

Paramspider

Это инструмент Python, который используется для поиска параметров сайта в веб-архиве без взаимодействия с хостом. Для поиска параметров, ParamSpider использует различные методы и списки слов.

Тулза будер полезна при поиске XSS, SQL-инъекций, SSRF и уязвимостей Open Redirect.

Установка Paramspider

Для установки Paramspider, используйте следующие команды:

Если не получается установить, убедитесь, что у вас установлен Python 3 и Git.

Использование Paramspider

Для поиска XSS, выполняем команду:

Автоматизация поиска XSS. Использование Paramspider

Эта команда запускает сценарий Python и сканирует цель. Полученные результаты сохраняет в текстовый файл.

Официальная страница Paramspider на GitHub:

https://github.com/devanshbatham/ParamSpider

Kxss

Ищет XSS на основе результатов найденных параметров из Waybackurls или Burp.

Установка Kxss

Для работы программы, необходимо установить Golang.

Для установки, используем команду:

Использование Kxss

Вы можете запустить скрипт подсунув файл найденных параметров Paramaspider:

Автоматизация поиска XSS. Использование Kxss

Как видите, результат на лицо.

Официальная страница Kxss на GitHub:

https://github.com/Emoe/kxss

DalFox — это мощный инструмент для поиска XSS., Также анализатор параметров и утилита, которые ускоряют процесс обнаружения XSS.

Основная концепция заключается в анализе параметров, поиске XSS и проверке их на основе синтаксического анализатора DOM.

Установка Dalfox

Можно установить Dalfox с помощью snap:

Использование Dalfox

Чтобы запустить скрипт и найти XSS-уязвимости на сайте, выполните команду:

Автоматизация поиска XSS. Использование Dalfox

Как мы видим, инструмент возвращает страницы со скрытыми параметрами (Reflected parameters).

Можно подсунуть полезную нагрузку.

Автоматизация поиска XSS уязвимости

Официальная страница Dalfox на GitHub:

https://github.com/hahwul/dalfox

Он-лайн сервис для поиска XSS уязвимостей

Можно также использовать онлайн-сервис pentest-tools.com/website-vulnerability-scanning/xss-scanner-online, который позволяет найти XSS веб-приложения, не устанавливая при этом никаких дополнительных инструментов. Просто вводите URL и получаете результат.

На этом все. Надеюсь статья была полезна и вы сможете автоматизировать процесс поиска XSS-уязвимостей на сайтах.

РЕКОМЕНДУЕМ:

ВКонтакте
OK
Telegram
WhatsApp
Viber

Добавить комментарий

Ваш адрес email не будет опубликован. Обязательные поля помечены *