Femida-xss (कार्य प्रगति पर)

बर्प सूट के लिए एक स्वचालित ब्लाइंड-एक्सएसएस खोज प्लगइन।

स्थापना

Git clone https://github.com/wish-i-was/femida.git Burp -> Extender -> Add -> ढूंढें और blind-xss.py चुनें

उपयोग कैसे करें

सेटिंग्स

सबसे पहले आपको "Your url" नामक फ़ील्ड में अपना कॉलबैक URL सेट करना होगा और इसे config.py फ़ाइल में स्वचालित रूप से सहेजने के लिए Enter दबाएं।

इसे सेट करने के बाद आपको पेलोड तालिका को अपने OOB-XSS वैक्टर से भरना होगा, ताकि एक्सटेंशन आपके पेलोड को बाहर जाने वाले अनुरोधों में इंजेक्ट कर सके। ध्यान दें कि आपको अपने पेलोड के अंदर {URL} उपनाम सेट करना होगा, ताकि एक्सटेंशन "Your url" फ़ील्ड से डेटा प्राप्त कर सके और इसे सीधे आपके पेलोड में सेट कर सके।

व्यवहार

Femida एक रैंडम ड्रिवेन एक्सटेंशन है, इसलिए "Active" पंक्ति में "1" वाला प्रत्येक पेलोड आपके सक्रिय या निष्क्रिय स्कैनिंग के दौरान बेतरतीब ढंग से उपयोग किया जाएगा। इसलिए यदि आप किसी भी पेलोड या पैरामीटर/हेडर को परीक्षण से बाहर करना चाहते हैं, तो "Active" मान को 0 में बदलें।

पेलोड

• Upload या Add बटन का उपयोग करके अपने पेलोड को तालिका में जोड़ें।
• अपने पेलोड में {URL} पैरामीटर के बारे में न भूलें।
• जब आप तालिकाओं में कोई डेटा जोड़ते हैं, तो Active पंक्ति मैन्युअल रूप से 1 के बराबर होगी (इसका मतलब है कि यह अब सक्रिय है)।
• यदि आप इसे निष्क्रिय बनाना चाहते हैं - तो Active पंक्ति को 0 पर सेट करें

हेडर और पैरामीटर

• आप Add बटन या Target/Proxy/Repeater में राइट-क्लिक करके मैन्युअल रूप से डेटा जोड़ सकते हैं।

• याद रखें, हेडर और पैरामीटर केस इनसेंसिटिव हैं।
• यदि आप इसे निष्क्रिय बनाना चाहते हैं - तो Active पंक्ति को 0 पर सेट करें।

उपयोग

एक्सटेंशन सक्रिय और निष्क्रिय दोनों जांच करने में सक्षम है।

सब कुछ सेट होने के बाद आप एक्सटेंशन का उपयोग शुरू कर सकते हैं। पहला मामला निष्क्रिय जांच है, इसलिए हम अब इस प्रक्रिया को कवर करेंगे:

1. "Run proxy" बटन दबाएं, जब यह सक्रिय होता है तो एक्सटेंशन कॉन्फ़िगर किए गए पैरामीटर और हेडर की तलाश कर रहा होता है। सफलतापूर्वक खोजने के बाद यह उसमें पेलोड डाल देता है। यदि आप अपने परीक्षण के दौरान कुछ समस्याएं पाते हैं (WAF या त्रुटियां या आदि), तो आप "Parallel Request" बटन चालू कर सकते हैं ताकि पेलोड वाले सभी अनुरोध पृष्ठभूमि में पेलोड के साथ डुप्लिकेट अनुरोधों के रूप में भेजे जाएं, लेकिन आपका मुख्य सत्र साफ रहेगा ताकि आप डीबग लॉग की निगरानी करके जांच सकें कि सब कुछ सही है या नहीं।

रिलीज़ संस्करण जल्द ही।

वीडियो जल्द ही।

हमें ट्वीट करें:

HD_421 और wish i was