XSRFProbe

クロスサイトリクエストフォージェリ監査・エクスプロイトツールキット。

概要

XSRFProbe は、高度なクロスサイトリクエストフォージェリ（CSRF/XSRF）監査・エクスプロイトツールキットです。強力なクローリングエンジンと多数の系統的なチェックを備えており、CSRF脆弱性の大半のケースとそのバイパスを検出し、見つかった脆弱性ごとに悪用可能な概念実証（PoC）を生成できます。XSRFProbeの動作の詳細については、wikiのXSRFProbe内部構造を参照してください。

XSRFProbe Wiki • はじめに • 一般的な使い方 • 高度な使い方 • XSRFProbe内部構造 • ギャラリー

主な機能

• エンドポイントが脆弱であると宣言する前に、応答差分/ベンチマークエンジンに基づいた系統的なチェックの全バッテリーを実行します。
• 多くのAnti-CSRFトークン実装（リクエストメソッド切り替え、トークン削除、空/重複値、非セッション束縛トークン、ダブルサブミットクッキー、カスタムヘッダートークン）を検出し、積極的に改変します。
• RefererおよびOrigin検証を、実際のバイパス（ヘッダー削除、正規表現/サブドメインのトリック、Origin: null）と、メソッドオーバーライドやContent-Typeバイパスを用いて調査します。
• SameSiteクッキー保護を分析し、兄弟ドメインバイパステストのためにオプションのサブドメイン列挙（crt.sh経由）を行います。
• 決定論的で制限付きのクロールとスキャンを備えた強力なクローラーと連携します（--max-urls、--max-depth、--crawl-timeoutで設定可能）。
• ブラウザ依存のテストや生成されたPoCの自動検証のために、オプションのヘッドレスFirefox（Selenium）統合を提供します。
• エントロピーとエンコーディングチェックを用いた正確なトークン強度検出と分析。
• 通常のCSRF概念実証と悪用可能なCSRF概念実証の両方を生成できます。

実行される脆弱性テスト:

XSRFProbeが実行する各チェックには一意の識別子があります。このIDはコンソール出力に表示され（例 [T6] VULNERABLE: ...）、JSONレポートの各発見項目の test_id フィールド（severity と、該当する場合は details の下の exploitability 注釈とともに）として保存されるため、各発見はそれを生成した正確なテストにマッピングされます。

S* チェックにはオプションのヘッドレスブラウザ統合（--browser）が必要です。T*/M*/R*/O* は、応答差分/ベンチマークエンジンによって制御されるHTTPレベルのチェックです。

ギャラリー

XSRFProbeの実際のシナリオを見てみましょう：

インストールと使い方

完全な使用方法については、wikiの一般的な使い方と高度な使い方を参照してください。

Pypi経由でのインストール：

XSRFProbeは単一のコマンドで簡単にインストールできます：

pip install xsrfprobe

手動インストール：

• 基本として、最初のステップはツールのインストールです：

pip install .

• これで、ツールを次のように起動できます：

xsrfprobe --help

• ブラウザ依存テスト（--browser、--auto-validate-poc）では、さらにgeckodriverがPATHに存在する（または--geckodriver-pathで指定する）必要があります。
• XSRFProbeをサイトでテストした後、現在の作業ディレクトリにxsrfprobe-outputという出力フォルダが作成されます。このフォルダ内で、スキャン中に収集された詳細なログと情報を確認できます（--jsonを渡すと機械可読なレポートが生成されます）。

バージョンとライセンス

XSRFProbeは現在v3.0.0であり、この作業はGNU General Public License (GPLv3)の下でライセンスされています。

警告

本ツールを実際のサイトで使用しないでください！

このツールはあらゆる種類のフォーム送信を自動的に実行するように設計されており、サイトに損害を与える可能性があるためです。データベースを台無しにしたり、サイトに対してDoSを引き起こす可能性が最も高いです。

使い捨て/ダミーのセットアップ/サイトでテストしてください。

免責事項

事前の相互同意なしにWebサイトのテストにXSRFProbeを使用することは、違法行為と見なされる可能性があります。すべての該当する地域、州、連邦法を遵守するのは最終的なユーザーの責任です。作者は一切の責任を負わず、このプログラムの誤用や損害についても責任を負いません。

作者の言葉

このプロジェクトは、クロスサイトリクエストフォージェリ攻撃に関する私自身の研究とWebアプリケーションでの経験に完全に基づいています。ソースコードを調べて、このツールキットがどのように構築されたかを理解するのに役立ててください。有用なプルリクエスト、アイデアや問題を大歓迎します。XSRFProbeの開発状況を確認したい場合は、開発ボードをご覧ください。

♡をもって @0xInfection により作成されました。