dalfox v3.2.2
Schneller XSS-Scanner mit Parameteranalyse, WAF-Fingerprinting und DOM/AST-Verifikation. Unterstützt reflektierte, gespeicherte und DOM-basierte XSS-Erkennung über CLI, Pipeline oder REST-API.
Dalfox ist ein leistungsstarkes Open-Source-Tool mit Fokus auf Automatisierung, das sich ideal für das schnelle Scannen nach XSS-Schwachstellen und die Analyse von Parametern eignet. Seine fortschrittliche Test-Engine und spezialisierten Funktionen sind darauf ausgelegt, den Prozess der Erkennung und Verifizierung von Schwachstellen zu optimieren.
Hauptfunktionen
- Unterbefehle:
scan(URL / Datei / Pipe / Raw-HTTP / HAR, automatisch erkannt),server,payload,mcp,completion - Discovery: Parameteranalyse, statische Analyse, BAV-Testing, Parameter-Mining
- XSS-Scanning: Reflected, Stored (SXSS), DOM-basiert, mit Optimierung und DOM/AST-Verifizierung
- WAF: Fingerprinting mit Confidence-Scoring, Bypass-Tracking und anpassbarem
--waf-min-confidence - HTTP-Optionen: Benutzerdefinierte Header, Cookies, Methoden, Proxy und mehr
- Ausgabe: JSON/JSONL/Plain/Markdown/SARIF/TOML-Formate, Silence-Modus, detaillierte Berichte
- Erweiterbarkeit: REST-API, MCP-stdio-Server, benutzerdefinierte Payloads, entfernte Wortlisten
Und die verschiedenen Optionen, die für das Testen erforderlich sind :D
Installation
Homebrew (macOS/Linux)
brew install dalfox
# https://formulae.brew.sh/formula/dalfox
Snapcraft (Ubuntu)
sudo snap install dalfox
Arch Linux (AUR)
yay -S dalfox
# or
paru -S dalfox
Chocolatey (Windows)
choco install dalfox
Siehe die Installationsanleitung für manuelle Build-Anweisungen.
Nixpkgs (NixOS)
Für Nix- oder NixOS-Nutzer ist ein Paket verfügbar. Beachten Sie, dass die neuesten Releases möglicherweise nur
im unstable-Kanal vorhanden sind.
nix-shell -p dalfox
Nix Flakes
Für Nix-Nutzer mit aktivierten Flakes:
# Run directly
nix run github:hahwul/dalfox -- scan https://example.com
# Install
nix profile install github:hahwul/dalfox
# Development environment for hacking on Dalfox itself
git clone https://github.com/hahwul/dalfox && cd dalfox && nix develop
Das Flake stellt außerdem overlays.default bereit, sodass NixOS- und home-manager-Nutzer Dalfox gegen ihre eigenen nixpkgs bauen können. Siehe die Installationsanleitung für dieses Modul-Snippet und die restlichen Details.
Vorkompilierte Binärdateien (einschließlich statisch gelinkter musl-Varianten für Linux) sind auf der Seite GitHub Releases verfügbar.
Verwendung
dalfox [mode] [target] [flags]
- Einzelne URL:
dalfox scan http://example.com -b https://callback - Dateimodus:
dalfox scan urls.txt --custom-payload mypayloads.txt - Pipeline:
cat urls.txt | dalfox scan --headers "AuthToken: xxx" - Benutzerdefinierter Injektionspunkt (Query):
dalfox scan 'https://example.com/?q=FUZZ&page=1' --inject-marker FUZZ - Benutzerdefinierter Injektionspunkt (Header):
dalfox scan https://example.com -H 'X-Search: FUZZ' --inject-marker FUZZ
Weitere Beispiele finden Sie in der CLI-Referenz und in der Dokumentation Quick start.
V2
Sie suchen die Go-Version (v2.x)? Dalfox v3 ist eine vollständige Neuimplementierung in Rust. Die Go-Codebasis bleibt im v2-Branch erhalten und erhält weiterhin Sicherheits-Backports. Die Support-Richtlinie finden Sie in SECURITY.md und die Änderungen in v3 im Migrationsleitfaden.
Mitwirken
Wenn Sie zu diesem Projekt beitragen möchten, lesen Sie bitte CONTRIBUTING.md und reichen Sie einen Pull-Request mit Ihren großartigen Inhalten ein.
Über den Namen
Der Name setzt sich aus „Dal“ (달) 🌙, dem koreanischen Wort für „Mond“, und „Fox“ 🦊 zusammen.
