NoXss

NoXss è uno scanner di vulnerabilità di cross-site scripting che supporta reflected XSS e DOM-based XSS. È molto veloce e adatto per testare milioni di URL. Ha trovato alcune vulnerabilità XSS in programmi Bug Bounty.

Caratteristiche

• Veloce e adatto per testare milioni di URL
• Supporto DOM-based XSS (usa Chrome o PhantomJS) e reflected XSS
• Utilizza solo 8 payload basati sulla posizione di iniezione (non fuzz, più accurato, più veloce)
• Richieste asincrone (usa gevent) e multiprocesso
• Supporta singolo URL, file e traffico da BurpSuite
• Filtro del traffico basato sull'interfaccia
• Supporto per header speciali (referer, cookie, token personalizzati, ecc.)
• Supporta la riscansion rapida tramite ID

Directory

├── engine.py
├── logo
├── cookie.py
├── url.txt
├── cookie
│   └── test.com_cookie
├── traffic
│   ├── 49226b2cbc77b71b.traffic    #traffic file(pickled)
│   └── 49226b2cbc77b71b.reflect    #reflected file(pickled)
├── config.py
├── start.py
├── url.txt.filtered    #filtered urls
├── util.py
├── README.md
├── banner.py
├── requirements.txt
├── result
│   └── 49226b2cbc77b71b-2019_10_29_11_24_44.json   #result
├── model.py
└── test.py

Schermata

Ambiente

Linux
Python2.7
Browser: PhantomJS o Chrome

Installazione

Ubuntu

• 1.apt-get install flex bison phantomjs
• 2.pip install -r requirements.txt

Centos

• 1.yum install flex bison phantomjs
• 2.pip install -r requirements.txt

MacOS

• 1.brew install grep findutils flex phantomjs
• 2.pip install -r requirements.txt

Se vuoi eseguire la scansione con --browser=chrome, devi installare Chrome manualmente. Puoi usare --check per testare l'installazione.
python start.py --check

Utilizzo

python start.py --url url --save
python start.py --url url --cookie cookie --browser chrome --save  
python start.py --url url --cookie cookie --browser chrome-headless --save  
python start.py --file ./url.txt --save  
python start.py --burp ./test.xml --save  
python start.py --file file --filter

Opzioni

--url esegue la scansione da URL.
--id riscansiona dal file *.traffic tramite ID attività.
--file esegue la scansione di URL da file di testo (es. ./url.txt).
--burp esegue la scansione di *.xml (codificato in base64, es. ./test.xml) dal proxy BurpSuite.
--process numero di processi.
--coroutine numero di coroutine.
--cookie usa cookie.
--filter filtra gli URL.
--browser usa browser (chrome, chrome-headless o phantomjs) per la scansione, è efficace per DOM-based XSS ma lento.
--save salva i risultati in ./result/id.json.
--clear elimina i file di traffico dopo la scansione.

Come scansionare dati da BurpSuite

In Proxy, "Salva elementi" ==> "test.xml"

Poi puoi scansionare test.xml:
python start.py --burp=./test.xml

Come riscansionare

Dopo la prima scansione, ci saranno taskid.traffic e taskid.reflect in ./traffic/:

• taskid.traffic: traffico web della richiesta (pickled).
• taskid.reflect: risultato riflesso (pickled) che include parametri riflessi, posizione riflessa, tipo e altro.
  NoXss userà questi file intermedi per riscansionare:
  python start.py --id taskid --save

Come funziona NoXss?

Payload

NoXss utilizza solo 8 payload per la scansione. Questi payload si basano sulla posizione riflessa del parametro. Meno payload lo rendono più veloce del fuzzing.

Async e multiprocesso

NoXss è altamente concorrente grazie all'uso di coroutine.

Supporto per DOM-based XSS

Sempre più pagine utilizzano DOM per renderizzare HTML. NoXss può analizzarlo usando PhantomJS (predefinito) o Chrome.

File di analisi

Alcuni XSS sono difficili da scansionare. NoXss salverà alcuni file in traffic/ per l'analisi, inclusi:

• *.traffic (file di traffico durante la scansione)
• *.reflect (risultato riflesso del parametro)
• *.redirect (risposta 30x)
• *.error (alcuni errori come timeout, reset della connessione, ecc.)
• *.multipart (quando la richiesta è multipart/form-data, non facile da scansionare)

Esempio

Come si vede in Schermata, il poc è https://xxx/?proxyAccount=xssjs%22%3B&shareName=duhxams, Il che significa usare il payload xssjs%22%3B nel parametro "proxyAccount":

Poi puoi chiudere le doppie virgolette usando il payload xssjs";alert(1);//. L'exploit finale è:
https://xxx.com/?proxyAccount=xssjs";alert(1);//&shareName=duhxams