XSRFProbe

La boîte à outils d'audit et d'exploitation de la falsification de requête intersite (Cross-Site Request Forgery).

À propos

XSRFProbe est une boîte à outils avancée d'audit et d'exploitation de la falsification de requête intersite (CSRF/XSRF). Équipée d'un moteur de crawling puissant et de nombreux contrôles systématiques, elle est capable de détecter la plupart des cas de vulnérabilités CSRF, leurs contournements associés, et de générer des preuves de concept exploitables pour chaque vulnérabilité découverte. Pour plus d'informations sur le fonctionnement de XSRFProbe, voir XSRFProbe Internals sur le wiki.

Wiki XSRFProbe • Pour commencer • Utilisation générale • Utilisation avancée • Fonctionnement interne de XSRFProbe • Galerie

Quelques fonctionnalités

• Effectue une batterie complète de vérifications systématiques — soutenues par un moteur de différenciation/benchmark des réponses — avant de déclarer un point d'accès vulnérable.
• Détecte et altère activement de nombreuses implémentations de jetons anti-CSRF : changement de méthode de requête, suppression du jeton, valeurs vides/dupliquées, jetons non liés à la session, cookies double-soumission et jetons d'en-tête personnalisés.
• Sonde la validation Referer et Origin avec des contournements du monde réel (suppression d'en-tête, astuces regex/sous-domaine, Origin: null) ainsi que les contournements par méthode de substitution et Content-Type.
• Analyse les protections SameSite des cookies, avec une énumération optionnelle des sous-domaines (via crt.sh) pour tester les contournements par domaine frère.
• Fonctionne avec un crawler puissant offrant un crawl et un scan déterministes et limités (configurables via --max-urls, --max-depth et --crawl-timeout).
• Intégration optionnelle de Firefox sans tête (Selenium) pour les tests dépendants du navigateur et la validation automatique des PoC générées.
• et à l'aide de vérifications d'entropie et d'encodage.

Tests de vulnérabilité effectués :

Chaque vérification effectuée par XSRFProbe possède un identifiant unique. Cet identifiant est affiché dans la sortie console (par ex. [T6] VULNÉRABLE : ...) et stocké comme champ test_id de chaque résultat dans le rapport JSON (avec sa severity et, le cas échéant, une note exploitability sous details), de sorte que chaque résultat renvoie au test exact qui l'a produit.

Les vérifications S* nécessitent l'intégration optionnelle du navigateur sans tête (--browser). Les vérifications T*/M*/R*/O* sont des vérifications au niveau HTTP contrôlées par le moteur de différenciation/benchmark des réponses.

Galerie

Voyons quelques scénarios réels de XSRFProbe en action :

Installation et utilisation

Pour les informations d'utilisation complètes, veuillez consulter le wiki — Utilisation générale et Utilisation avancée.

Installation via Pypi :

XSRFProbe peut être facilement installé via une seule commande :

pip install xsrfprobe

Installation manuelle :

• Pour les bases, la première étape consiste à installer l'outil :

pip install .

• Maintenant, l'outil peut être lancé via :

xsrfprobe --help

• Les tests dépendants du navigateur (--browser, --auto-validate-poc) nécessitent en plus que geckodriver soit disponible dans votre PATH (ou pointé via --geckodriver-path).
• Après avoir testé XSRFProbe sur un site, un dossier de sortie est créé dans votre répertoire de travail actuel sous le nom xsrfprobe-output. Dans ce dossier, vous pouvez consulter les journaux détaillés et les informations collectées lors des scans (passez --json pour un rapport lisible par machine).

Version et licence

XSRFProbe est actuellement en v3.0.0 et le travail est sous licence GNU General Public License (GPLv3).

Avertissements

N'utilisez pas cet outil sur un site en production !

Car cet outil est conçu pour effectuer automatiquement toutes sortes de soumissions de formulaires, ce qui pourrait saboter le site. Parfois, vous pourriez endommager la base de données et probablement aussi provoquer un déni de service (DoS) sur le site.

Testez sur une configuration/un site jetable/de test !

Clause de non-responsabilité

L'utilisation de XSRFProbe pour tester des sites web sans accord mutuel préalable peut être considérée comme une activité illégale. Il est de la responsabilité finale de l'utilisateur de se conformer à toutes les lois locales, étatiques et fédérales applicables. L'auteur décline toute responsabilité et n'est pas responsable de toute mauvaise utilisation ou de tout dommage causé par ce programme.

Mot de l'auteur

Ce projet est basé entièrement sur mes propres recherches et ma propre expérience avec les applications web concernant les attaques par falsification de requête intersite (Cross-Site Request Forgery). Vous pouvez parcourir le code source pour comprendre comment cette boîte à outils a été construite. Les pull requests utiles, idées et problèmes sont les bienvenus. Si vous souhaitez voir comment XSRFProbe est développé, consultez le Tableau de développement.

Confectionné avec ♡ par @0xInfection