NoXss

NoXss es un escáner de vulnerabilidades de cross-site scripting que soporta XSS reflejado y XSS basado en DOM. Es muy rápido y adecuado para probar millones de URLs. Ha encontrado algunas vulnerabilidades XSS en programas de Bug Bounty.

Características

• Rápido y adecuado para probar millones de URLs
• Soporta XSS basado en DOM (usando Chrome o Phantomjs) y XSS reflejado
• Solo usa 8 payloads basados en la posición de inyección ahora (no fuzzing, más preciso, más rápido)
• Solicitudes asíncronas (usando gevent) y multiproceso
• Soporta URL única, archivo y tráfico de Burpsuite
• Filtro de tráfico basado en interfaz
• Soporta cabeceras especiales (referer, cookie, token personalizado, ej.)
• Soporta reescaneo rápido por ID

Directorio

├── engine.py
├── logo
├── cookie.py
├── url.txt
├── cookie
│   └── test.com_cookie
├── traffic
│   ├── 49226b2cbc77b71b.traffic    #traffic file(pickled)
│   └── 49226b2cbc77b71b.reflect    #reflected file(pickled)
├── config.py
├── start.py
├── url.txt.filtered    #filtered urls
├── util.py
├── README.md
├── banner.py
├── requirements.txt
├── result
│   └── 49226b2cbc77b71b-2019_10_29_11_24_44.json   #result
├── model.py
└── test.py

Captura de pantalla

Entorno

Linux
Python2.7
Navegador: Phantomjs o Chrome

Instalación

Ubuntu

• 1.apt-get install flex bison phantomjs
• 2.pip install -r requirements.txt

Centos

• 1.yum install flex bison phantomjs
• 2.pip install -r requirements.txt

MacOS

• 1.brew install grep findutils flex phantomjs
• 2.pip install -r requirements.txt

Si deseas escanear usando --browser=chrome, debes instalar Chrome manualmente. Puedes usar --check para probar la instalación.
python start.py --check

Uso

python start.py --url url --save
python start.py --url url --cookie cookie --browser chrome --save  
python start.py --url url --cookie cookie --browser chrome-headless --save  
python start.py --file ./url.txt --save  
python start.py --burp ./test.xml --save  
python start.py --file file --filter

Opciones

--url escanear desde URL.
--id reescanear desde archivo *.traffic por ID de tarea.
--file escanear URLs desde archivo de texto (como ./url.txt).
--burp escanear *.xml (codificado en base64, como ./test.xml) desde el proxy de Burpsuite.
--process número de procesos.
--coroutine número de corutinas.
--cookie usar cookie.
--filter filtrar URLs.
--browser usar navegador (chrome, chrome-headless o phantomjs) para escanear, es bueno para XSS basado en DOM pero lento.
--save guardar resultados en ./result/id.json.
--clear eliminar archivos de tráfico después del escaneo.

Cómo escanear datos desde Burpsuite

En Proxy, "Save items" ==> "test.xml"

Luego puedes escanear test.xml:
python start.py --burp=./test.xml

Cómo reescanear

Después del primer escaneo, habrá taskid.traffic y taskid.reflect en ./traffic/:

• taskid.traffic: tráfico web de la solicitud (pickled).
• taskid.reflect: resultado reflejado (pickled) que incluye parámetros reflejados, posición reflejada, tipo y otros.
  NoXss usará estos archivos intermedios para reescanear:
  python start.py --id taskid --save

¿Cómo funciona NoXss?

Payloads

NoXss solo usa 8 payloads para el escaneo. Estos payloads se basan en la posición reflejada del parámetro. Menos payloads lo hacen más rápido que el fuzzing.

Asíncrono y multiproceso

NoXss es altamente concurrente gracias al uso de corutinas.

Soporte para XSS basado en DOM

Cada vez más páginas usan DOM para renderizar HTML. NoXss puede analizarlo usando Phantomjs (por defecto) o Chrome.

Archivos de análisis

Algunas vulnerabilidades XSS son difíciles de escanear. NoXss guardará algunos archivos en traffic/ para su análisis, que incluyen:

• *.traffic (archivo de tráfico durante el escaneo)
• *.reflect (resultado reflejado del parámetro)
• *.redirect (respuestas 30x)
• *.error (errores como tiempo de espera, restablecimiento de conexión, etc.)
• *.multipart (cuando la solicitud es multipart/form-data, difícil de escanear)

Ejemplo

Como se ve en la Captura de pantalla, el POC es https://xxx/?proxyAccount=xssjs%22%3B&shareName=duhxams. Eso significa usar el payload xssjs%22%3B en el parámetro 'proxyAccount':

Luego puedes cerrar las comillas dobles usando el payload xssjs";alert(1);//. El exploit final es:
https://xxx.com/?proxyAccount=xssjs";alert(1);//&shareName=duhxams