CookieCatcher

CookieCatcher è un'applicazione open source creata per assistere nello sfruttamento delle vulnerabilità XSS (Cross Site Scripting) all'interno di applicazioni web per rubare gli ID di sessione degli utenti (noto anche come Session Hijacking). L'uso di questa applicazione è puramente educativo e non dovrebbe essere utilizzato senza il permesso appropriato dall'applicazione target.

Per maggiori informazioni su XSS visita il seguente link: https://www.owasp.org/index.php/Cross-site_Scripting_(XSS)

Per maggiori informazioni sul Session Hijacking visita il seguente link: https://www.owasp.org/index.php/Session_hijacking_attack

Caratteristiche

• Payload predefiniti per rubare i dati dei cookie
• Basta copiare e incollare il payload in una vulnerabilità XSS
• Invierà una notifica via email quando nuovi cookie vengono rubati
• Proverà ad aggiornare i cookie ogni 3 minuti per evitare timeout di inattività
• Fornisce richieste HTTP complete per dirottare sessioni attraverso un proxy (BuRP, ecc.)
• Proverà a caricare un'anteprima quando si visualizzano i dati dei cookie
• PAYLOADS
• • Attacco AJAX di base
• • Evasione HTTPONLY per Apache CVE-20120053
• • Altri in arrivo

Requisiti

CookieCatcher è progettato per uno stack LAMP con i seguenti componenti:

• PHP 5.x.x
• PHP-cURL
• MySQL
• Lynx & crontab

Installazione

• Scarica il codice sorgente da github git clone https://github.com/DisK0nn3cT/CookieCatcher.git oppure usa il file ZIP ed estrailo sul tuo server.
• Configura la directory come virtualhost in Apache (non entrerò nei dettagli, ma puoi chiedermi via email o usare Google.)
• Crea un database per l'applicazione e carica il file SETUP.sql.
• Configura un lavoro cron come mostrato nel file SETUP.cron.

DEMO

Una demo live dell'applicazione può essere visualizzata su http://m19.us. Si raccomandano nomi di dominio brevi per ridurre lo spazio di caratteri necessario per i payload.

• Video YouTube: http://www.youtube.com/watch?v=2GH6RRozOpY

Contribuisci

Se hai idee o suggerimenti su come migliorare l'applicazione esistente e desideri offrire il tuo tempo, contattami via email.

Crediti

@disk0nn3ct - Autore [email protected]