XSRFProbe

Il Toolkit Primario per Audit e Sfruttamento di Cross Site Request Forgery.

Informazioni

XSRFProbe è un toolkit avanzato per l'audit e lo sfruttamento di Cross Site Request Forgery (CSRF/XSRF). Dotato di un potente motore di crawling e di numerosi controlli sistematici, è in grado di rilevare la maggior parte dei casi di vulnerabilità CSRF, i relativi bypass e di generare proof of concept sfruttabili per ogni vulnerabilità trovata. Per maggiori informazioni su come funziona XSRFProbe, consulta XSRFProbe Internals sul wiki.

Wiki di XSRFProbe • Per Iniziare • Utilizzo Generale • Utilizzo Avanzato • Interni di XSRFProbe • Galleria

Alcune Caratteristiche

• Esegue una batteria completa di controlli sistematici — basati su un motore di confronto/benchmark delle risposte — prima di dichiarare un endpoint vulnerabile.
• Rileva e manomette attivamente molte implementazioni di token Anti-CSRF: cambio del metodo di richiesta, rimozione del token, valori vuoti/duplicati, token non vincolati alla sessione, cookie double-submit e token in intestazione personalizzata.
• Sonda la validazione Referer e Origin con bypass reali (rimozione dell'intestazione, trucchi regex/sottodominio, Origin: null) oltre a bypass tramite method-override e Content-Type.
• Analizza le protezioni dei cookie SameSite, con enumerazione opzionale dei sottodomini (tramite crt.sh) per test di bypass tramite dominio fratello.
• Funziona con un potente crawler dotato di crawling deterministico e limitato, con scansione configurabile (tramite --max-urls, --max-depth e --crawl-timeout).
• Integrazione opzionale con Firefox senza interfaccia (Selenium) per test dipendenti dal browser e validazione automatica dei PoC generati.
• e tramite controlli di entropia e codifica.

Test di Vulnerabilità Eseguiti:

Ogni controllo eseguito da XSRFProbe ha un identificatore univoco. L'ID viene mostrato nell'output della console (ad es. [T6] VULNERABILE: ...) e memorizzato come campo test_id di ogni risultato nel report JSON (insieme alla sua severity e, se pertinente, a una nota exploitability sotto details), in modo che ogni risultato corrisponda al test esatto che lo ha prodotto.

I controlli S* richiedono l'integrazione opzionale con browser senza interfaccia (--browser). I controlli T*/M*/R*/O* sono controlli a livello HTTP regolati dal motore di confronto/benchmark delle risposte.

Galleria

Vediamo alcuni scenari reali di XSRFProbe in azione:

Installazione e Utilizzo

Per informazioni complete sull'utilizzo, consulta il wiki — Utilizzo Generale e Utilizzo Avanzato.

Installazione tramite Pypi:

XSRFProbe può essere facilmente installato con un singolo comando:

pip install xsrfprobe

Installazione manuale:

• Per le basi, il primo passo è installare lo strumento:

pip install .

• Ora lo strumento può essere avviato con:

xsrfprobe --help

• I test dipendenti dal browser (--browser, --auto-validate-poc) richiedono inoltre che geckodriver sia disponibile nel tuo PATH (o indicato tramite --geckodriver-path).
• Dopo aver testato XSRFProbe su un sito, viene creata una cartella di output nella tua directory di lavoro corrente denominata xsrfprobe-output. All'interno di questa cartella puoi visualizzare i log dettagliati e le informazioni raccolte durante le scansioni (passa --json per un report leggibile da macchina).

Versione e Licenza

XSRFProbe è attualmente alla v3.0.0 e il lavoro è concesso in licenza secondo la GNU General Public License (GPLv3).

Avvertenze

Non utilizzare questo strumento su un sito live!

Questo perché lo strumento è progettato per eseguire automaticamente tutti i tipi di invio di moduli, che potrebbero sabotare il sito. A volte potresti danneggiare il database e molto probabilmente eseguire un DoS sul sito.

Testa su una configurazione/sito di prova usa e getta!

Dichiarazione di non responsabilità

L'utilizzo di XSRFProbe per testare siti web senza previo accordo reciproco può essere considerato un'attività illegale. È responsabilità dell'utente finale rispettare tutte le leggi locali, statali e federali applicabili. L'autore non si assume alcuna responsabilità e non è responsabile per qualsiasi uso improprio o danno causato da questo programma.

Parole dell'Autore

Questo progetto si basa interamente sulla mia ricerca e sulla mia esperienza con le applicazioni web riguardanti gli attacchi di Cross-Site Request Forgery. Puoi provare a esaminare il codice sorgente per capire come è stato costruito questo toolkit. Pull request utili, idee e segnalazioni sono benvenute. Se desideri vedere come viene sviluppato XSRFProbe, consulta la Bacheca di Sviluppo.

Realizzato con ♡ da @0xInfection