xsscrapy

高速で徹底的なXSS/SQLiスパイダーです。URLを指定すると、見つかったすべてのリンクに対してクロスサイトスクリプティングといくつかのSQLインジェクションの脆弱性をテストします。SQLi検出の詳細についてはFAQを参照してください。

メインフォルダ内で以下のコマンドを実行します。

./xsscrapy.py -u http://example.com

ログイン後にクロールする場合:

./xsscrapy.py -u http://example.com/login_page -l loginname

HTTP Basic認証でログイン後にクロールする場合:

./xsscrapy.py -u http://example.com/login_page -l loginname --basic

クッキーを使用する場合:

./xsscrapy.py -u http://example.com/login_page --cookie "SessionID=abcdef1234567890"

同時接続数を20に制限する場合:

./xsscrapy.py -u http://example.com -c 20

1分あたり60リクエストにレート制限する場合:

./xsscrapy.py -u http://example.com/ -r 60

XSS脆弱性はxsscrapy-vulns.txtに報告されます。

依存関係

wget -O -u https://bootstrap.pypa.io/get-pip.py
python get-pip.py
pip install -r requirements.txt

OSによっては追加のライブラリが必要になる場合があります。 libxml2 libxslt zlib libffi openssl (場合によってはlibssl-dev)

テスト

• Cookies
• User-Agent
• Referer
• URL変数
• URLの末尾
• URLパス
• 隠しフィールドと明示的フィールドの両方を含むフォーム

FAQ

• エラー ImportError: cannot import name LinkExtractor が発生する場合。これはscrapyの最新版がインストールされていないことを意味します。以下のコマンドでインストールできます: sudo pip install --upgrade scrapy。
• XSScrapyという名前なのに、なぜSQLインジェクションも検出するのか？ 危険なXSS文字と危険なSQLインジェクション文字（具体的にはシングルクォートとダブルクォート）の間には重複があります。レスポンス内のSQLインジェクションエラーを検出することも簡単でCPU負荷も高くありません。したがって、このスクリプトの99%はXSSの高精度な検出に強く重点を置いていますが、エラーメッセージの発見を通じて簡単なSQLインジェクション検出を追加することは、シンプルで効果的な追加機能です。このスクリプトはブラインドSQLインジェクションはテストしません。検出対象のエラーメッセージはw3afのsqli監査プラグインから直接取得しています。

ライセンス

Copyright (c) 2014, Dan McInerney All rights reserved.

以下に定める条件に従い、本ソフトウェアおよび関連文書ファイル（以下「本ソフトウェア」）の複製を取得するすべての人に対し、本ソフトウェアを無制限に扱うことを許可します。これには、本ソフトウェアの複製、変更、結合、出版、頒布、サブライセンス、および/または販売する権利、および本ソフトウェアを提供する相手に同じことを許可する権利が含まれますが、これに限定されません。

上記の著作権表示および本許諾表示を、本ソフトウェアのすべての複製または重要な部分に記載するものとします。

本ソフトウェアは「現状のまま」提供され、明示または黙示を問わず、商品性、特定目的への適合性、および権利非侵害に関する黙示の保証を含むがこれに限定されない、いかなる保証もなく提供されます。いかなる場合も、著作権者または貢献者は、契約、不法行為、またはその他の行為に起因する、本ソフトウェアの使用またはその他の取扱いに起因する直接的、間接的、偶発的、特別、懲罰的、または結果的な損害（代替品またはサービスの調達、使用、データ、または利益の喪失、または事業の中断を含むがこれに限定されない）について、そのような損害の可能性が事前に知らされていたとしても、一切の責任を負わないものとします。