CookieCatcher

CookieCatcher ist eine Open-Source-Anwendung, die entwickelt wurde, um bei der Ausnutzung von XSS (Cross-Site-Scripting)-Schwachstellen in Webanwendungen zu helfen, um Benutzersitzungs-IDs zu stehlen (auch bekannt als Session Hijacking). Die Verwendung dieser Anwendung ist rein zu Bildungszwecken gedacht und sollte ohne entsprechende Genehmigung der Zielanwendung nicht eingesetzt werden.

Weitere Informationen zu XSS finden Sie unter folgendem Link: https://www.owasp.org/index.php/Cross-site_Scripting_(XSS)

Weitere Informationen zu Session Hijacking finden Sie unter folgendem Link: https://www.owasp.org/index.php/Session_hijacking_attack

Funktionen

• Vorgefertigte Payloads zum Stehlen von Cookie-Daten
• Einfach Payload in eine XSS-Schwachstelle kopieren und einfügen
• Sendet E-Mail-Benachrichtigungen, wenn neue Cookies gestohlen wurden
• Versucht, Cookies alle 3 Minuten zu aktualisieren, um Inaktivitäts-Timeouts zu vermeiden
• Stellt vollständige HTTP-Anfragen bereit, um Sitzungen über einen Proxy (BuRP usw.) zu kapern
• Versucht, eine Vorschau beim Anzeigen der Cookie-Daten zu laden
• PAYLOADS
• • Basis-AJAX-Angriff
• • HTTPONLY-Umgehung für Apache CVE-20120053
• • Weitere folgen

Anforderungen

CookieCatcher ist für einen LAMP-Stack mit folgender Ausstattung ausgelegt:

• PHP 5.x.x
• PHP-cURL
• MySQL
• Lynx & crontab

Installation

• Laden Sie die Quelle von GitHub herunter: git clone https://github.com/DisK0nn3cT/CookieCatcher.git oder verwenden Sie die ZIP-Datei und entpacken Sie sie auf Ihrem Server.
• Richten Sie das Verzeichnis als virtuellen Host in Apache ein (ich werde nicht auf diese Details eingehen, Sie können mich jedoch per E-Mail fragen oder Google verwenden.)
• Erstellen Sie eine Datenbank für die Anwendung und laden Sie die Datei SETUP.sql.
• Richten Sie einen Cron-Job ein, wie in der Datei SETUP.cron gezeigt.

DEMO

Eine Live-Demo der Anwendung kann unter http://m19.us angesehen werden. Kleine Domainnamen werden empfohlen, um den für die Payloads benötigten Zeichenraum zu reduzieren.

• YouTube-Video: http://www.youtube.com/watch?v=2GH6RRozOpY

Mitwirken

Wenn Sie Ideen oder Vorschläge zur Verbesserung der bestehenden Anwendung haben und Ihre Zeit anbieten möchten, kontaktieren Sie mich bitte per E-Mail.

Danksagungen

@disk0nn3ct - Autor [email protected]