JSPanda

JSpanda क्लाइंट-साइड प्रोटोटाइप प्रदूषण भेद्यता स्कैनर है। इसकी दो मुख्य विशेषताएं हैं: आपूर्ति किए गए URLs की भेद्यता स्कैन करना और जावास्क्रिप्ट लाइब्रेरीज़ के स्रोत कोड का विश्लेषण करना।

हालांकि, JSpanda उन्नत प्रोटोटाइप प्रदूषण भेद्यताओं का पता नहीं लगा सकता है।

JSPanda कैसे काम करता है?

प्रोटोटाइप प्रदूषण भेद्यता के लिए कई पेलोड का उपयोग करता है।
स्कैनिंग के लिए लक्ष्यों में सभी लिंक एकत्र करता है और JSpanda द्वारा प्राप्त URLs में पेलोड जोड़ता है, प्रत्येक URL पर हेडलेस क्रोम ड्राइवर से नेविगेट करता है।
संभावित रूप से कमजोर जावास्क्रिप्ट लाइब्रेरी के स्रोत कोड में सभी शब्दों को स्कैन करता है और स्क्रिप्ट गैजेट ढूँढकर एक सरल JS PoC बनाता है, जो आपको मैन्युअल रूप से कोड का विश्लेषण करने में मदद करता है।

आवश्यकताएँ

गूगल क्रोम और क्रोम ड्राइवर का नवीनतम संस्करण डाउनलोड करें
सेलेनियम

उपयोग

स्कैन: python3.7 jspanda.py

url.txt फ़ाइल में URLs जोड़ें, उदाहरण के लिए : example.com

बेसिक सोर्स कोड विश्लेषण : python3.7 analyze.py

analyze.js में एक जावास्क्रिप्ट लाइब्रेरी का स्रोत कोड जोड़ें
analyze.py का उपयोग करके PoC कोड उत्पन्न करें
क्रोम कंसोल पर PoC कोड निष्पादित करें। यह स्रोत कोड से एकत्र किए गए सभी शब्दों को प्रदूषित करता है और उन्हें स्क्रीन पर दिखाता है। इसलिए यह गलत सकारात्मक परिणाम उत्पन्न कर सकता है। ये आउटपुट शोधकर्ताओं को अतिरिक्त जानकारी प्रदान करते हैं, सब कुछ स्वचालित न करें।