autossrf

सारांश

autoSSRF बड़े पैमाने पर SSRF कमजोरियों की पहचान करने में आपका सबसे अच्छा सहयोगी है। अन्य SSRF ऑटोमेशन टूल से अलग, यह निम्नलिखित दो मूल विशेषताओं के साथ आता है:

• प्रासंगिक SSRF GET पैरामीटर्स पर स्मार्ट फ़ज़िंग

  फ़ज़िंग करते समय, autoSSRF केवल SSRF से संबंधित सामान्य पैरामीटर्स (?url=, ?uri=, आदि) पर ध्यान केंद्रित करता है और बाकी सब में हस्तक्षेप नहीं करता है। यह सुनिश्चित करता है कि परीक्षण की जा रही वेब-एप्लिकेशन द्वारा मूल URL अभी भी सही ढंग से समझा जाता है, जो एक ऐसे टूल के साथ नहीं हो सकता है जो आँख बंद करके क्वेरी पैरामीटर्स स्प्रे कर रहा है।

• संदर्भ-आधारित डायनामिक पेलोड निर्माण

  दिए गए URL: https://host.com/?fileURL=https://authorizedhost.com के लिए, autoSSRF authorizedhost.com को वेब-एप्लिकेशन के लिए संभावित रूप से सफेद-सूचीबद्ध होस्ट के रूप में पहचानेगा, और उसके आधार पर गतिशील रूप से पेलोड उत्पन्न करेगा, जो व्हाइट-लिस्टिंग सत्यापन को बायपास करने का प्रयास करता है। इसके परिणामस्वरूप दिलचस्प पेलोड जैसे: http://authorizedhost.attacker.com, http://authorizedhost%[email protected], आदि होंगे।

इसके अलावा, यह टूल लगभग कोई गलत-सकारात्मक (false-positive) की गारंटी नहीं देता है। पता लगाना शानदार ProjectDiscovery के interactsh पर निर्भर करता है, जो autoSSRF को आउट-ऑफ-बैंड DNS/HTTP इंटरैक्शन की आत्मविश्वास से पहचान करने की अनुमति देता है।

उपयोग

python3 autossrf.py -h

यह टूल के लिए सहायता प्रदर्शित करता है।

usage: autossrf.py [-h] [--file FILE] [--url URL] [--output] [--verbose]

options:
  -h, --help            show this help  message and exit
  --file FILE, -f FILE  file of all URLs to be tested against SSRF
  --url URL, -u URL     url to be tested against SSRF
  --output, -o          output file path
  --verbose, -v         activate verbose mode

एकल URL लक्ष्य:

python3 autossrf.py -u https://www.host.com/?param1=X&param2=Y&param2=Z

एकाधिक URL लक्ष्य वर्बोज़ के साथ:

python3 autossrf.py -f urls.txt -v

स्थापना

1 - क्लोन करें

git clone https://github.com/Th0h0/autossrf.git

2 - आवश्यकताएँ स्थापित करें

Python लाइब्रेरीज़ :

cd autossrf 
pip install -r requirements.txt

Interactsh-क्लाइंट :

go install -v github.com/projectdiscovery/interactsh/cmd/interactsh-client@latest

लाइसेंस

autoSSRF को MIT लाइसेंस के तहत वितरित किया जाता है।