CookieCatcher

CookieCatcherは、Webアプリケーション内のXSS（クロスサイトスクリプティング）脆弱性の悪用を支援し、ユーザーセッションID（別名セッションハイジャック）を盗むために作成されたオープンソースアプリケーションです。このアプリケーションの使用は純粋に教育目的であり、対象アプリケーションから適切な許可なく使用してはなりません。

XSSの詳細については、以下のリンクを参照してください: https://www.owasp.org/index.php/Cross-site_Scripting_(XSS)

セッションハイジャックの詳細については、以下のリンクを参照してください: https://www.owasp.org/index.php/Session_hijacking_attack

Features

• プリビルトのペイロードでクッキーデータを盗む
• ペイロードをXSS脆弱性にコピー＆ペーストするだけ
• 新しいクッキーが盗まれたらメール通知を送信
• 非アクティブタイムアウトを避けるため、3分ごとにクッキーを更新試行
• プロキシ（BuRPなど）を介してセッションをハイジャックするための完全なHTTPリクエストを提供
• クッキーデータ表示時にプレビューを読み込む試行
• ペイロード
• • Basic AJAX Attack
• • HTTPONLY evasion for Apache CVE-20120053
• • その他随時追加予定

Requirements

CookieCatcherは以下のLAMPスタックで動作するように構築されています:

• PHP 5.x.x
• PHP-cURL
• MySQL
• Lynx & crontab

Installation

• ソースをGitHubからダウンロード git clone https://github.com/DisK0nn3cT/CookieCatcher.git またはZIPファイルを使用してサーバーに展開します。
• ディレクトリをApacheの仮想ホストとして設定します（詳細は省略しますが、メールで質問するかGoogleで調べてください）。
• アプリケーション用のデータベースを作成し、SETUP.sqlファイルをロードします。
• SETUP.cronファイルに示されているようにcronジョブを設定します。

DEMO

アプリケーションのライブデモは http://m19.us でご覧いただけます。ペイロードに必要な文字数を減らすために、短いドメイン名をお勧めします。

• YouTube動画: http://www.youtube.com/watch?v=2GH6RRozOpY

Contribute

既存のアプリケーションを改善するためのアイデアや提案があり、時間を提供していただける場合は、メールでご連絡ください。

Credits

@disk0nn3ct - Author [email protected]