xsscrapy

عنكبوت سريع وشامل لفحص XSS/SQLi. أعطه رابط وسيختبر كل رابط يجده بحثًا عن ثغرات cross-site scripting وبعض ثغرات SQL injection. انظر الأسئلة الشائعة لمزيد من التفاصيل حول اكتشاف SQLi.

من داخل المجلد الرئيسي قم بتشغيل:

./xsscrapy.py -u http://example.com

إذا كنت ترغب في تسجيل الدخول ثم الزحف:

./xsscrapy.py -u http://example.com/login_page -l loginname

إذا كنت ترغب في تسجيل الدخول باستخدام HTTP Basic Auth ثم الزحف:

./xsscrapy.py -u http://example.com/login_page -l loginname --basic

إذا كنت ترغب في استخدام الكوكيز:

./xsscrapy.py -u http://example.com/login_page --cookie "SessionID=abcdef1234567890"

إذا كنت ترغب في تحديد عدد الاتصالات المتزامنة إلى 20:

./xsscrapy.py -u http://example.com -c 20

إذا كنت ترغب في تحديد حد معدل الطلبات إلى 60 طلب في الدقيقة:

./xsscrapy.py -u http://example.com/ -r 60

يتم الإبلاغ عن ثغرات XSS في ملف xsscrapy-vulns.txt

التبعيات

wget -O -u https://bootstrap.pypa.io/get-pip.py
python get-pip.py
pip install -r requirements.txt

قد تحتاج إلى مكتبات إضافية حسب نظام التشغيل. libxml2 libxslt zlib libffi openssl (أحيانًا libssl-dev)

الاختبارات

• الكوكيز
• User-Agent
• Referer
• متغيرات URL
• نهاية URL
• مسار URL
• النماذج سواء المخفية أو الصريحة

الأسئلة الشائعة

• إذا أعطى خطأ: ImportError: cannot import name LinkExtractor. هذا يعني أنه ليس لديك أحدث إصدار من scrapy. يمكنك تثبيته باستخدام: sudo pip install --upgrade scrapy.
• اسم الأداة XSScrapy، فلماذا اكتشاف SQL injection؟ هناك تداخل بين أحرف XSS الخطيرة وأحرف SQL injection الخطيرة، وهي علامات الاقتباس المفردة والمزدوجة. كما أن اكتشاف أخطاء SQL injection في الاستجابة بسيط ولا يستهلك كثيرًا من المعالج. لذلك، على الرغم من أن 99% من هذا السكريبت موجه بقوة نحو الكشف الدقيق عن XSS، فإن إضافة كشف بسيط لـ SQL injection من خلال اكتشاف رسائل الخطأ هو إضافة بسيطة وفعالة. هذا السكريبت لن يختبر blind sql injection. رسائل الخطأ التي يبحث عنها مأخوذة مباشرة من مكون الإضافة sqli audit في w3af.

الترخيص

حقوق النشر (c) 2014، Dan McInerney جميع الحقوق محفوظة.

يُسمح بإعادة التوزيع والاستخدام في أشكال المصدر والثنائية، مع أو بدون تعديل، بشرط استيفاء الشروط التالية:

• يجب أن تحتفظ إعادة توزيع كود المصدر بإشعار حقوق النشر أعلاه، هذه القائمة من الشروط وإخلاء المسؤولية التالي.
• يجب أن تعيد توزيعات الشكل الثنائي إنتاج إشعار حقوق النشر أعلاه، هذه القائمة من الشروط وإخلاء المسؤولية التالي في الوثائق و/أو المواد الأخرى المقدمة مع التوزيع.
• لا يجوز استخدام اسم Dan McInerney أو أسماء المساهمين فيه لتأييد أو الترويج لمنتجات مشتقة من هذا البرنامج دون إذن كتابي مسبق محدد.

يتم توفير هذا البرنامج "كما هو" من قبل مالكي حقوق النشر والمساهمين وأي تعبير أو ضمان ضمني، بما في ذلك على سبيل المثال لا الحصر، الضمانات الضمنية لقابلية التسويق والملاءمة لغرض معين. في أي حال من الأحوال لن يكون <مالك حقوق النشر> مسؤولاً عن أي أضرار مباشرة أو غير مباشرة أو عرضية أو خاصة أو نموذجية أو تبعية (بما في ذلك على سبيل المثال لا الحصر، شراء السلع أو الخدمات البديلة؛ فقدان الاستخدام أو البيانات أو الأرباح؛ أو انقطاع الأعمال) مهما كانت السببية وعلى أي نظرية من المسؤولية، سواء في العقد أو المسؤولية التقصيرية الصارمة أو (بما في ذلك الإهمال أو غير ذلك) الناشئة بأي طريقة عن استخدام هذا البرنامج، حتى لو تم الإبلاغ عن إمكانية حدوث مثل هذه الأضرار.