XCat

XCat ist ein Kommandozeilenwerkzeug, um blinde XPath-Injection-Schwachstellen auszunutzen und zu untersuchen.

Eine vollständige Referenz finden Sie in der Dokumentation hier: https://xcat.readthedocs.io/en/latest/

Es unterstützt eine große Anzahl von Funktionen:

• Automatische Auswahl von Injektionen (führen Sie xcat injections für eine Liste aus)

• Erkennt die Version und Fähigkeiten des XPath-Parsers und wählt die schnellste Abrufmethode aus

• Integrierter Out-of-Bound-HTTP-Server

  • Automatisiert XXE-Angriffe
  • Kann OOB-HTTP-Anfragen verwenden, um den Abruf drastisch zu beschleunigen

• Benutzerdefinierte Anfrage-Header und -Body

• Integrierte REPL-Shell, die Folgendes unterstützt:

  • Lesen beliebiger Dateien
  • Lesen von Umgebungsvariablen
  • Auflisten von Verzeichnissen
  • Hoch-/Herunterladen von Dateien (demnächst TM)

• Optimierter Abruf

  • Verwendet binäre Suche über Unicode-Codepunkte, falls verfügbar
  • Rückfälle beinhalten die Suche nach zuvor abgerufenen gebräuchlichen Zeichen
  • Normalisiert Unicode, um den Suchraum zu reduzieren

Installation

Führen Sie pip install xcat aus

Oder mit Docker: docker run -it tomforbes/xcat --help

Oder auf fedora, dnf install xcat 😎

Erfordert Python 3.7. Sie können dies problemlos mit pyenv installieren: pyenv install 3.7.1

Beispielanwendung

Es gibt eine vollständige Demo-Anwendung, mit der Sie die Funktionen von XCat erkunden können. Siehe README hier: https://github.com/orf/xcat_app