infobyte/faraday_addonfaradaysec プラットフォーム用のブラウザ拡張機能 https://faradaysec.com
Faraday Addon は、閲覧中のリクエストを自分の Faraday インスタンスに自動的に報告するためのシンプルなアドオンです。Faraday Addon はブラウザからのすべてのリクエストを傍受し、それぞれを脆弱性として扱ってアクセスする機能を追加します。これにより、ペンテスターは潜在的に脆弱なリクエストを Faraday に送信するためにアドオンを使うだけでよく、サーバーにコピー＆ペーストする必要がなくなります。
現時点では、Faraday Addon は Firefox Quantum のみで利用可能です。安定した Chrome リリースに向けて開発中です。
Firefox アドオンリポジトリから最新リリースをダウンロードしてインストールしてください:
$ git clone https://github.com/infobyte/faraday_addon.git
Firefox の検索ボックスに「about:debugging」と入力します。
このボタンをクリックします: 一時的なアドオンを読み込む
クローンしたディレクトリ内の manifest.json ファイルを選択します Faraday Addon。
まず、Faraday サーバーに認証する必要があります。
ログインしたら、設定に移動します。
Faraday サーバーの URL を追加して Connect をクリックします。(URL は [protocol]://[ip/domain]:[port] の形式である必要があります)
設定が正しければ、ワークスペースが表示されます。使用するワークスペースをクリックして、設定を保存します。
Faraday Addon は、正規表現を使ったスコープ設定にも対応しており、特定のリクエストのみをキャプチャできます。例えば、faradaysec.com のすべてのサブドメインだけをキャプチャしたい場合:
*.faradaysec.com
これで Faraday Addon でリクエストをキャプチャする準備ができました。
すべてが正しく設定されていれば、Faraday Addon を通過するすべてのリクエストが表示されます。XSS を発見して Faraday に送信したいとしましょう。新しいイシューを作成するには、脆弱性のあるリクエストの横にあるアイコンをクリックします:
フォームがポップアップ表示されるので、イシューに関するすべての情報を入力します。以前に Faraday に Vulnerability Templates をアップロードしている場合、このプロセスはより高速になります。
入力が完了したら、Faraday に送信します。
Faraday サーバーで新しい脆弱性を確認できます。
