XSS Catcher

Flask、VueJS、PostgreSQL上で動作するブラインドXSS検出およびXSSデータキャプチャフレームワーク。

XSS Catcherは、スクリーンショットを含むブラインドクロスサイトスクリプティング（XSS）攻撃とデータ収集を自動化する直感的なツールです。カスタマイズ可能なXSSペイロードを作成するためのユーザーフレンドリーなペイロードジェネレーターを備え、Webhookやメール通知、多要素認証、マルチユーザーアクセスなどの機能を提供します。シンプルに設計されており、SlackやDiscordなどのプラットフォームと簡単に統合でき、Cookie、ローカルストレージ、セッションストレージを含む包括的なデータをキャプチャし、HTTPヘッダーやDOMスナップショットなどの詳細なインサイトを提供します。さらに、高度な自動化のためにAPIキーをサポートし、XSSテストを合理化し、複雑な攻撃シナリオをよりアクセスしやすく管理しやすくします。

機能 • インストール • 更新 • 初回ログイン • APIドキュメント • デモ • トラブルシューティング • クレジット

スクリーンショット

機能

簡単に使用できるペイロードジェネレーターでシンプルかつカスタマイズ可能なXSSペイロードを生成
新しいXSSが捕捉されたときにWebhook（Slack、Discord、または自動化形式）とメールを使用して通知を送信
送信先のメールまたはWebhookはグローバルおよびクライアントごとに設定可能
管理者権限と低権限ユーザーのマルチユーザー
TOTPによる多要素認証
Cookie、ローカルストレージ、セッションストレージなどのキャプチャを許可
XSSに関する追加情報（HTTPヘッダー、送信元IPアドレス、タイムスタンプなど）を保存
「キャッチオール」エンドポイントとして機能。クエリストリング（GET）またはボディ（POST）でデータをクライアントのURLに送信するだけで、XSS Catcherがそれをキャッチ！
html2canvas と fingerprintjs を活用
完全なDOMをキャプチャし、ペイロードがどこでトリガーされたかを簡単に把握可能
XSSにカスタムタグを追加して、より適切に分類および検索できるようにする。
カスタムJavaScriptコードを実行し、その出力をキャプチャできる。
Webhookと組み合わせて高度な攻撃シナリオを自動化するために、ユーザーごとに最大5つのAPIキーをサポート

インストール

XSS Catcherを実行する最も簡単な方法は、Dockerhubイメージを使用することです（Dockerが必要です）。

# Running the app by exposing it on port 8080
$ docker run -p 8080:80 daxhackerman/xss-catcher

# By default, the container has no persistence. If you need some, you can setup a volume
$ docker volume create xsscatcher-db
$ docker run -p 8080:80 -v xsscatcher-db:/var/lib/postgresql/14/main/ -d --name xsscatcher daxhackerman/xss-catcher

イメージを自分でビルドする場合は、Gitとオプションでmakeが必要です。コマンドラインから：

# Clone this repository
$ git clone https://github.com/daxAKAhackerman/XSS-Catcher.git

# Go into the repository
$ cd XSS-Catcher

# All of the following commands are using make. If you are on a system where make is not available, simply have a look into the Makefile and manually run the required commands (under build, start or stop)

# If you've never run the application, build it
$ make

# Start the application. It will listen to port 8080.
$ make start

# Stop the application when you're done
$ make stop

# You can update the application when needed
$ git pull && make stop; make && make start

初回ログイン

Webインターフェースに接続するためのデフォルトの認証情報は admin:xss です。
Makefileで実行した場合のデフォルトのWebポートは 8080 です。

デモ

スクリーンショット

APIドキュメント

Postmanコレクションはこちらにあります： https://www.postman.com/maintenance-architect-74448403/workspace/xss-catcher

トラブルシューティング

JavaScriptの混合コンテンツエラー

XSSペイロードがトリガーされた際のJavaScriptの混合コンテンツエラーを回避するために、有効なTLS証明書を提供するリバースプロキシの背後にXSS Catcherを配置することを強くお勧めします。

クレジット

免責事項

事前の相互同意なくターゲットを攻撃するためにこのツールを使用することは違法です。該当するすべての地方、州、連邦法を遵守することはエンドユーザーの責任です。当社は一切の責任を負わず、このツールの誤用または損害について責任を負いません。

こちらもどうぞ...

Simple One Time Secret - 機密情報を共有するための単回使用・期限付きリンクを生成
Testing TOR network - Dockerでテスト用TORネットワークをセットアップするCLIツール
Tor HashedControlPassword Brute - Tor HashedControlPassword値に対する辞書攻撃を実行するCプログラム

GitHub @daxAKAhackerman

XSS-Catcher

人気