xsscrapy

तेज़, गहन, XSS/SQLi स्पाइडर। इसे एक URL दें और यह मिलने वाले हर लिंक का क्रॉस-साइट स्क्रिप्टिंग और कुछ SQL इंजेक्शन कमजोरियों के लिए परीक्षण करेगा। SQLi पहचान के बारे में अधिक जानकारी के लिए FAQ देखें।

मुख्य फ़ोल्डर के अंदर से चलाएँ:

./xsscrapy.py -u http://example.com

यदि आप लॉगिन करके क्रॉल करना चाहते हैं:

./xsscrapy.py -u http://example.com/login_page -l loginname

यदि आप HTTP बेसिक ऑथ के साथ लॉगिन करके क्रॉल करना चाहते हैं:

./xsscrapy.py -u http://example.com/login_page -l loginname --basic

यदि आप कुकीज़ का उपयोग करना चाहते हैं:

./xsscrapy.py -u http://example.com/login_page --cookie "SessionID=abcdef1234567890"

यदि आप समवर्ती कनेक्शन को 20 तक सीमित करना चाहते हैं:

./xsscrapy.py -u http://example.com -c 20

यदि आप दर को 60 अनुरोध प्रति मिनट तक सीमित करना चाहते हैं:

./xsscrapy.py -u http://example.com/ -r 60

XSS कमजोरियाँ xsscrapy-vulns.txt में रिपोर्ट की जाती हैं।

निर्भरताएँ

wget -O -u https://bootstrap.pypa.io/get-pip.py
python get-pip.py
pip install -r requirements.txt

ऑपरेटिंग सिस्टम पर निर्भर अतिरिक्त लाइब्रेरीज़ की आवश्यकता हो सकती है। libxml2 libxslt zlib libffi openssl (कभी-कभी libssl-dev)

परीक्षण

• Cookies
• User-Agent
• Referer
• URL variables
• End of URL
• URL path
• Forms both hidden and explicit

FAQ

• यदि यह त्रुटि देता है : ImportError: cannot import name LinkExtractor। इसका मतलब है कि आपके पास scrapy का नवीनतम संस्करण नहीं है। आप इसे sudo pip install --upgrade scrapy का उपयोग करके इंस्टॉल कर सकते हैं।
• इसे XSScrapy कहा जाता है, तो SQL इंजेक्शन का पता लगाना भी क्यों? खतरनाक XSS वर्णों और खतरनाक SQL इंजेक्शन वर्णों, अर्थात् एकल और दोहरे उद्धरण, के बीच ओवरलैप है। प्रतिक्रिया में SQL इंजेक्शन त्रुटियों का पता लगाना भी सरल और गैर-CPU-गहन है। इसलिए, हालांकि यह स्क्रिप्ट 99% XSS के उच्च और सटीक पता लगाने की ओर दृढ़ता से उन्मुख है, त्रुटि संदेश खोज के माध्यम से सरल SQL इंजेक्शन पहचान जोड़ना एक सरल और प्रभावी जोड़ है। यह स्क्रिप्ट ब्लाइंड SQL इंजेक्शन का परीक्षण नहीं करेगी। यह जिन त्रुटि संदेशों की तलाश करती है, वे सीधे w3af के sqli ऑडिट प्लगइन से आते हैं।

लाइसेंस

कॉपीराइट (c) 2014, Dan McInerney सर्वाधिकार सुरक्षित।

स्रोत कोड के पुनर्वितरण में उपरोक्त कॉपीराइट सूचना, शर्तों की यह सूची और निम्नलिखित अस्वीकरण शामिल होना चाहिए।

बाइनरी रूप में पुनर्वितरण में उपरोक्त कॉपीराइट सूचना, शर्तों की यह सूची और निम्नलिखित अस्वीकरण को वितरण के साथ प्रदान किए गए दस्तावेज़ और/या अन्य सामग्रियों में पुन: प्रस्तुत करना होगा।

डैन मैकइनरनी के नाम या इसके योगदानकर्ताओं के नाम का उपयोग बिना विशिष्ट पूर्व लिखित अनुमति के इस सॉफ्टवेयर से व्युत्पन्न उत्पादों का समर्थन या प्रचार करने के लिए नहीं किया जा सकता है।

यह सॉफ्टवेयर कॉपीराइट धारकों और योगदानकर्ताओं द्वारा "जैसा है" प्रदान किया गया है और किसी भी प्रकार की स्पष्ट या निहित वारंटी, जिसमें व्यापारिकता और किसी विशेष उद्देश्य के लिए उपयुक्तता की निहित वारंटियां शामिल हैं, लेकिन इन्हीं तक सीमित नहीं, को अस्वीकार किया जाता है। किसी भी स्थिति में किसी भी प्रत्यक्ष, अप्रत्यक्ष, आकस्मिक, विशेष, अनुकरणीय, या परिणामी क्षति (जिसमें वैकल्पिक वस्तुओं या सेवाओं की प्राप्ति; उपयोग, डेटा, या लाभ की हानि; या व्यवधान शामिल है, लेकिन इन्हीं तक सीमित नहीं) के लिए उत्तरदायी नहीं होगा, चाहे वह किसी भी कारण से उत्पन्न हुई हो और किसी भी देयता सिद्धांत पर, चाहे अनुबंध में हो, कठोर दायित्व में हो, या अपकृत्य में हो (लापरवाही सहित या अन्यथा), भले ही ऐसी क्षति की संभावना के बारे में सलाह दी गई हो।