xsscrapy

Schnelle, gründliche XSS/SQLi-Spider. Gib eine URL an und sie testet jeden gefundenen Link auf Cross-Site-Scripting und einige SQL-Injection-Schwachstellen. Siehe FAQ für weitere Details zur SQLi-Erkennung.

Führe im Hauptordner aus:

./xsscrapy.py -u http://example.com

Wenn du dich anmelden und dann crawlen möchtest:

./xsscrapy.py -u http://example.com/login_page -l loginname

Wenn du dich mit HTTP Basic Auth anmelden und dann crawlen möchtest:

./xsscrapy.py -u http://example.com/login_page -l loginname --basic

Wenn du Cookies verwenden möchtest:

./xsscrapy.py -u http://example.com/login_page --cookie "SessionID=abcdef1234567890"

Wenn du die gleichzeitigen Verbindungen auf 20 begrenzen möchtest:

./xsscrapy.py -u http://example.com -c 20

Wenn du die Rate auf 60 Anfragen pro Minute begrenzen möchtest:

./xsscrapy.py -u http://example.com/ -r 60

XSS-Schwachstellen werden in xsscrapy-vulns.txt gemeldet.

Abhängigkeiten

wget -O -u https://bootstrap.pypa.io/get-pip.py
python get-pip.py
pip install -r requirements.txt

Je nach Betriebssystem können zusätzliche Bibliotheken erforderlich sein. libxml2 libxslt zlib libffi openssl (manchmal libssl-dev)

Tests

• Cookies
• User-Agent
• Referer
• URL-Variablen
• Ende der URL
• URL-Pfad
• Formulare sowohl versteckt als auch explizit

FAQ

• Wenn ein Fehler auftritt: ImportError: cannot import name LinkExtractor. Das bedeutet, dass du nicht die neueste Version von Scrapy hast. Du kannst es installieren mit: sudo pip install --upgrade scrapy.
• Es heißt XSScrapy, warum auch SQL-Injection-Erkennung? Es gibt Überschneidungen zwischen gefährlichen XSS-Zeichen und gefährlichen SQL-Injection-Zeichen, nämlich einfache und doppelte Anführungszeichen. Die Erkennung von SQL-Injection-Fehlern in einer Antwort ist ebenfalls einfach und nicht CPU-intensiv. Obwohl 99% dieses Skripts stark auf hohe und genaue Erkennung von XSS ausgerichtet ist, ist das Hinzufügen einer einfachen SQL-Injection-Erkennung durch das Auffinden von Fehlermeldungen eine einfache und effektive Ergänzung. Dieses Skript testet nicht auf blinde SQL-Injection. Die Fehlermeldungen, nach denen es sucht, stammen direkt aus dem sqli-Audit-Plugin von w3af.

Lizenz

Copyright (c) 2014, Dan McInerney Alle Rechte vorbehalten.

Die Weiterverbreitung und Nutzung in Quell- und Binärform, mit oder ohne Änderungen, ist unter der Voraussetzung erlaubt, dass die folgenden Bedingungen erfüllt sind:

• Weiterverbreitungen des Quellcodes müssen den obigen Urheberrechtshinweis, diese Liste der Bedingungen und den folgenden Haftungsausschluss enthalten.
• Weiterverbreitungen in Binärform müssen den obigen Urheberrechtshinweis, diese Liste der Bedingungen und den folgenden Haftungsausschluss in der Dokumentation und/oder anderen Materialien, die mit der Verteilung bereitgestellt werden, wiedergeben.
• Weder der Name von Dan McInerney noch die Namen seiner Mitwirkenden dürfen ohne vorherige schriftliche Genehmigung zur Unterstützung oder Förderung von Produkten, die aus dieser Software abgeleitet wurden, verwendet werden.

DIESE SOFTWARE WIRD VON DEN URHEBERRECHTSINHABERN UND MITWIRKENDEN "WIE BESEHEN" BEREITGESTELLT, UND JEGLICHE AUSDRÜCKLICHE ODER STILLSCHWEIGENDE GEWÄHRLEISTUNGEN, EINSCHLIESSLICH, ABER NICHT BESCHRÄNKT AUF, DIE STILLSCHWEIGENDEN GEWÄHRLEISTUNGEN DER MARKTGÄNGIGKEIT UND DER EIGNUNG FÜR EINEN BESTIMMTEN ZWECK, WERDEN ABGELEHNT. IN KEINEM FALL HAFTEN FÜR DIREKTE, INDIREKTE, ZUFÄLLIGE, BESONDERE, BEISPIELHAFTE ODER FOLGESCHÄDEN (EINSCHLIESSLICH, ABER NICHT BESCHRÄNKT AUF, BESCHAFFUNG VON ERSATZGÜTERN ODER -DIENSTLEISTUNGEN; NUTZUNGSAUSFALL, DATENVERLUST ODER GEWINNVERLUST; ODER GESCHÄFTSUNTERBRECHUNG), WIE AUCH IMMER VERURSACHT, UND UNTER JEGLICHER HAFTUNGSTHEORIE, OB AUS VERTRAG, VERSCHULDENSUNABHÄNGIGER HAFTUNG ODER UNERLAUBTER HANDLUNG (EINSCHLIESSLICH FAHRLÄSSIGKEIT ODER ANDERWEITIG), DIE AUS DER NUTZUNG DIESER SOFTWARE ENTSTEHEN, SELBST WENN AUF DIE MÖGLICHKEIT SOLCHER SCHÄDEN HINGEWIESEN WURDE.