CookieCatcher

CookieCatcher est une application open source conçue pour faciliter l'exploitation des vulnérabilités XSS (Cross Site Scripting) dans les applications web afin de voler les identifiants de session des utilisateurs (aka détournement de session). L'utilisation de cette application est purement éducative et ne doit pas être faite sans autorisation préalable de l'application cible.

Pour plus d'informations sur les XSS, visitez le lien suivant : https://www.owasp.org/index.php/Cross-site_Scripting_(XSS)

Pour plus d'informations sur le détournement de session, visitez le lien suivant : https://www.owasp.org/index.php/Session_hijacking_attack

Fonctionnalités

• Charges utiles préconstruites pour voler les données des cookies
• Il suffit de copier-coller la charge utile dans une vulnérabilité XSS
• Envoie une notification par e-mail lorsque de nouveaux cookies sont volés
• Tente de rafraîchir les cookies toutes les 3 minutes pour éviter les délais d'inactivité
• Fournit des requêtes HTTP complètes pour détourner des sessions via un proxy (Burp, etc.)
• Tente de charger un aperçu lors de la visualisation des données des cookies
• CHARGES UTILES
• • Attaque AJAX de base
• • Évasion HTTPONLY pour Apache CVE-20120053
• • Plus à venir

Prérequis

CookieCatcher est conçu pour une pile LAMP fonctionnant avec les éléments suivants :

• PHP 5.x.x
• PHP-cURL
• MySQL
• Lynx & crontab

Installation

• Téléchargez la source depuis GitHub git clone https://github.com/DisK0nn3cT/CookieCatcher.git ou utilisez le fichier ZIP et extrayez-le sur votre serveur.
• Configurez le répertoire en tant qu'hôte virtuel dans Apache (je ne détaillerai pas ces étapes, mais vous pouvez me contacter par e-mail ou utiliser Google).
• Créez une base de données pour l'application et chargez le fichier SETUP.sql.
• Configurez une tâche cron comme indiqué dans le fichier SETUP.cron.

DÉMO

Une démo en direct de l'application est disponible sur http://m19.us. Les noms de domaine courts sont recommandés pour réduire l'espace de caractères nécessaire aux charges utiles.

• Vidéo YouTube : http://www.youtube.com/watch?v=2GH6RRozOpY

Contribuer

Si vous avez des idées ou des suggestions pour améliorer l'application existante et souhaitez offrir votre temps, veuillez me contacter par e-mail.

Crédits

@disk0nn3ct - Auteur [email protected]