XCat

XCat est un outil en ligne de commande pour exploiter et investiguer les vulnérabilités d'injection XPath aveugle.

Pour une référence complète, lisez la documentation ici : https://xcat.readthedocs.io/en/latest/

Il prend en charge un grand nombre de fonctionnalités :

• Sélection automatique des injections (exécutez xcat injections pour une liste)

• Détecte la version et les capacités de l'analyseur XPath et sélectionne la méthode de récupération la plus rapide

• Serveur HTTP intégré pour l'exfiltration hors bande

  • Automatise les attaques XXE
  • Peut utiliser des requêtes HTTP OOB pour accélérer considérablement la récupération

• En-têtes de requête et corps personnalisés

• Shell REPL intégré prenant en charge :

  • Lecture de fichiers arbitraires
  • Lecture des variables d'environnement
  • Liste des répertoires
  • Téléversement/téléchargement de fichiers (bientôt TM)

• Récupération optimisée

  • Utilise la recherche binaire sur les points de code Unicode si disponible
  • Les solutions de repli incluent la recherche en priorité des caractères courants déjà récupérés
  • Normalise l'Unicode pour réduire l'espace de recherche

Installation

Exécutez pip install xcat

Ou avec Docker : docker run -it tomforbes/xcat --help

Ou sur Fedora, dnf install xcat 😎

Nécessite Python 3.7. Vous pouvez facilement l'installer avec pyenv : pyenv install 3.7.1

Exemple d'application

Il existe une application de démonstration complète que vous pouvez utiliser pour explorer les fonctionnalités de XCat. Voir le README ici : https://github.com/orf/xcat_app