autossrf

Riepilogo

autoSSRF è il tuo miglior alleato per identificare vulnerabilità SSRF su larga scala. Diversamente da altri strumenti di automazione SSRF, questo offre le seguenti due caratteristiche originali:

• Fuzzing intelligente sui parametri GET rilevanti per SSRF

  Quando esegue il fuzzing, autoSSRF si concentra solo sui parametri comuni relativi a SSRF (?url=, ?uri=, ..) e non interferisce con il resto. Questo garantisce che l'URL originale venga ancora correttamente interpretato dall'applicazione web testata, cosa che potrebbe non accadere con uno strumento che inietta ciecamente parametri nelle query.

• Generazione dinamica di payload basata sul contesto

  Per un dato URL: https://host.com/?fileURL=https://authorizedhost.com, autoSSRF riconoscerebbe authorizedhost.com come un host potenzialmente in whitelist per l'applicazione web e genererebbe dinamicamente payload basati su di esso, tentando di bypassare la validazione della whitelist. Produrrebbe payload interessanti come: http://authorizedhost.attacker.com, http://authorizedhost%[email protected], ecc.

Inoltre, questo strumento garantisce quasi nessun falso positivo. Il rilevamento si basa sul grande interactsh di ProjectDiscovery, permettendo a autoSSRF di identificare con sicurezza interazioni DNS/HTTP out-of-band.

Utilizzo

python3 autossrf.py -h

Questo mostra l'aiuto per lo strumento.

usage: autossrf.py [-h] [--file FILE] [--url URL] [--output] [--verbose]

options:
  -h, --help            show this help  message and exit
  --file FILE, -f FILE  file of all URLs to be tested against SSRF
  --url URL, -u URL     url to be tested against SSRF
  --output, -o          output file path
  --verbose, -v         activate verbose mode

Singolo URL target:

python3 autossrf.py -u https://www.host.com/?param1=X&param2=Y&param2=Z

URL multipli target con verbose:

python3 autossrf.py -f urls.txt -v

Installazione

1 - Clona

git clone https://github.com/Th0h0/autossrf.git

2 - Installa i requisiti

Librerie Python :

cd autossrf 
pip install -r requirements.txt

Interactsh-Client :

go install -v github.com/projectdiscovery/interactsh/cmd/interactsh-client@latest

Licenza

autoSSRF è distribuito sotto Licenza MIT.