PwnFox

PwnFox ist eine Firefox/Burp-Erweiterung, die nützliche Werkzeuge für Ihre Sicherheitsaudits bereitstellt.

Wenn Sie ein Chrome-Benutzer sind, können Sie https://github.com/nccgroup/autochrome besuchen.

• PwnFox
  • Funktionen
    • BurpProxy mit einem Klick
    • Container-Profile
    • PostMessage-Protokollierer
    • Werkzeugkiste
    • Sicherheitsheader-Entferner
  • Installation
  • Erstellung
    • Firefox
    • Burp
  • Changelog

Funktionen

BurpProxy mit einem Klick

Verbinden Sie sich mit einem einfachen Klick mit Burp; dies wird wahrscheinlich die Notwendigkeit anderer Add-ons wie foxyProxy überflüssig machen. Falls Sie jedoch die zusätzlichen Funktionen von foxyProxy benötigen, können Sie dies deaktiviert lassen.

Container-Profile

PwnFox bietet schnellen Zugriff auf die Firefox-Container. Dadurch können Sie mehrere Identitäten im selben Browser nutzen. Wenn PwnFox und die Option Container-Header hinzufügen aktiviert sind, fügt PwnFox automatisch einen X-PwnFox-Color-Header hinzu, um die Abfrage in Burp hervorzuheben.

PwnFoxBurp hebt den Header automatisch hervor und entfernt ihn, Sie können aber auch mit Add-ons wie Logger++ ein eigenes Verhalten festlegen.

PostMessage-Protokollierer

PwnFox fügt einen neuen Nachrichten-Reiter in Ihren Entwicklertools hinzu. Dadurch können Sie schnell alle postMessage zwischen Frames visualisieren.

Sie können auch eine eigene Funktion zum Parsen/ Filtern der Nachrichten bereitstellen. Sie haben Zugriff auf 3 Argumente:

• data -> die Nachrichtendaten
• origin -> das Window-Objekt, das den Ursprung repräsentiert
• destion -> das Window-Objekt, das das Ziel repräsentiert

Sie können einen String oder ein JSON-serialisierbares Objekt zurückgeben.

Werkzeugkiste

Eigenen JavaScript-Code beim Laden der Seite einfügen. Der Code wird so schnell wie möglich geladen. Hiermit können Sie gefährliches Verhalten erkennen oder einfach zusätzliche Funktionen zu Ihrer JS-Konsole hinzufügen.

Seien Sie vorsichtig: Die eingefügte Werkzeugkiste läuft im Fensterkontext. Injizieren Sie keine Geheimnisse in eine nicht vertrauenswürdige Domain.

Ich werde bald einige meiner Werkzeugkisten veröffentlichen (ENOTIME)

Sicherheitsheader-Entferner

Manchmal ist es einfacher, mit deaktivierten Sicherheitsheadern zu arbeiten. Sie können dies jetzt mit einem einzigen Tastendruck tun. Vergessen Sie nicht, sie vor dem Testen Ihrer endgültigen Payload wieder zu aktivieren.

Entfernte Header:

• Content-Security-Policy
• X-XSS-Protection
• X-Frame-Options
• X-Content-Type-Options

Installation

Sie finden den neuesten Build hier:

• https://github.com/B-i-t-K/PwnFox/releases

Firefox

• Besuchen Sie about:addons und wählen Sie 'Installation aus Datei', dann wählen Sie PwnFox-$version.xpi
• oder installieren Sie von https://addons.mozilla.org/en-US/firefox/addon/pwnfox/

Burp

• Gehen Sie zu Extender und fügen Sie PwnFox-Burp.jar als Java-Erweiterung hinzu.

Erstellung

Firefox

cd firefox
web-ext build
# the zip file is available in /firefox/web-ext-artifacts/pwnfox-${version}.zip
# Optional. If you want to sign you own build
web-ext sign --api-key="$KEY" --api-secret="$SECRET"
# the xpi file is available in /firefox/web-ext-artifacts/pwnfox-${version}.xpi

Burp

Öffnen und kompilieren Sie mit Intellij IDEA

Changelog

• v1.0.3
  • Fehlende Hervorhebung mit Burp v2021.4.2 behoben
• v1.0.2
  • Erste öffentliche Veröffentlichung