فيميدا-إكس إس إس (قيد التطوير)

إضافة آلية للبحث عن ثغرات إكس إس إس الأعمى (Blind XSS) مخصصة لـ Burp Suite.

التثبيت

Git clone https://github.com/wish-i-was/femida.git Burp -> Extender -> Add -> ابحث عن blind-xss.py واختره

كيفية الاستخدام

الإعدادات

أولاً وقبل كل شيء، تحتاج إلى تعيين رابط الاستدعاء (callback URL) الخاص بك في الحقل المسمى "Your url" واضغط Enter لحفظه تلقائياً داخل ملف config.py.

بعد إعداده، تحتاج إلى ملء جدول الحمولات (Payloads) بمتجهات OOB-XSS الخاصة بك، حتى تتمكن الإضافة من حقن حمولاتك في الطلبات الصادرة. انتبه إلى أنك تحتاج إلى تعيين الاسم المستعار {URL} داخل الحمولة، حتى تتمكن الإضافة من الحصول على البيانات من حقل "Your url" وتعيينها مباشرة إلى حمولتك.

السلوكيات

فيميدا هي إضافة تعتمد على العشوائية (Random Driven)، لذلك سيتم استخدام كل حمولة تحتوي على "1" في الصف "Active" بشكل عشوائي أثناء الفحص النشط أو السلبي. لذا إذا كنت ترغب في استبعاد أي حمولة أو معامل/رأس من الاختبار، فما عليك سوى تغيير قيمة "Active" إلى 0.

الحمولات

• أضف حمولاتك إلى الجدول باستخدام زر Upload أو Add.
• لا تنسَ المعامل {URL} في حمولاتك.
• عند إضافة أي بيانات إلى الجداول، سيتم تعيين الصف Active تلقائياً إلى 1. (يعني أنه نشط الآن)
• إذا أردت جعله غير نشط - قم بتعيين الصف Active إلى 0.

الرؤوس والمعاملات

• يمكنك إضافة البيانات يدوياً باستخدام زر Add أو في Target/Proxy/Repeater عن طريق النقر بالزر الأيمن.

• لا تنسَ أن الرؤوس والمعاملات غير حساسة لحالة الأحرف (case insensitive).
• إذا أردت جعلها غير نشطة - قم بتعيين الصف Active إلى 0.

الاستخدام

الإضافة قادرة على إجراء كل من الفحوصات النشطة والفحوصات السلبية.

بعد إعداد كل شيء، يمكنك البدء في استخدام الإضافة. الحالة الأولى هي الفحوصات السلبية، وسنغطي هذه العملية الآن:

1. اضغط على زر "Run proxy"، بينما يكون نشطاً، تبحث الإضافة عن المعاملات والرؤوس المكونة. بعد العثور عليها بنجاح، تقوم بحقن الحمولة فيها. إذا واجهت بعض المشاكل أثناء اختباراتك (جدار حماية أو أخطاء أو غير ذلك)، يمكنك تشغيل زر "Parallel Request" بحيث يتم إرسال جميع الطلبات التي تحتوي على حمولة في الخلفية كطلبات مكررة مع الحمولات، ولكن جلسة العمل الرئيسية ستبقى نظيفة، وبالتالي ستتمكن من التحقق من أن كل شيء صحيح فقط من خلال مراقبة سجل التصحيح (debug log).

الإصدار الكامل قريباً.

فيديو قريباً.

غرد لنا:

HD_421 و wish i was