CookieCatcher

CookieCatcher es una aplicación de código abierto creada para ayudar en la explotación de vulnerabilidades XSS (Cross Site Scripting) en aplicaciones web con el fin de robar identificadores de sesión de usuarios (también conocido como secuestro de sesión). El uso de esta aplicación es puramente educativo y no debe emplearse sin el permiso adecuado de la aplicación objetivo.

Para más información sobre XSS, visite el siguiente enlace: https://www.owasp.org/index.php/Cross-site_Scripting_(XSS)

Para más información sobre secuestro de sesión, visite el siguiente enlace: https://www.owasp.org/index.php/Session_hijacking_attack

Características

• Payloads preconstruidos para robar datos de cookies
• Solo copia y pega el payload en una vulnerabilidad XSS
• Enviará notificación por correo electrónico cuando se roben nuevas cookies
• Intentará refrescar las cookies cada 3 minutos para evitar tiempos de inactividad
• Proporciona solicitudes HTTP completas para secuestrar sesiones a través de un proxy (Burp, etc.)
• Intentará cargar una vista previa al visualizar los datos de la cookie
• PAYLOADS
• • Ataque AJAX básico
• • Evasión de HTTPONLY para Apache CVE-20120053
• • Más próximamente

Requisitos

CookieCatcher está diseñado para una pila LAMP que ejecute lo siguiente:

• PHP 5.x.x
• PHP-cURL
• MySQL
• Lynx y crontab

Instalación

• Descargue el código fuente desde github git clone https://github.com/DisK0nn3cT/CookieCatcher.git o use el archivo ZIP y extráigalo en su servidor.
• Configure el directorio como un host virtual en Apache (no detallaré estos pasos, sin embargo, puede consultarme por correo electrónico o usar Google).
• Cree una base de datos para la aplicación y cargue el archivo SETUP.sql.
• Configure una tarea cron como se muestra en el archivo SETUP.cron.

DEMO

Puede ver una demostración en vivo de la aplicación en http://m19.us. Se recomiendan nombres de dominio cortos para reducir el espacio de caracteres necesario para los payloads.

• Video en YouTube: http://www.youtube.com/watch?v=2GH6RRozOpY

Contribuir

Si tiene ideas o sugerencias sobre cómo mejorar la aplicación existente y desea ofrecer su tiempo, por favor contácteme por correo electrónico.

Créditos

@disk0nn3ct - Autor [email protected]