NoXss

NoXss は、反射型XSSとDOMベースXSSに対応したクロスサイトスクリプト脆弱性スキャナです。非常に高速で、数百万のURLのテストに適しています。バグバウンティプログラムでいくつかのXSS脆弱性を発見実績があります。

特徴

• 高速で数百万のURLのテストに適しています
• DOMベースXSS（ChromeまたはPhantomjsを使用）と反射型XSSに対応
• 現在は注入位置に基づく8つのペイロードのみを使用（ファジングではなく、より正確かつ高速）
• 非同期リクエスト（gevent使用）とマルチプロセス処理
• 単一URL、ファイル、Burpsuiteからのトラフィックに対応
• インターフェースベースのトラフィックフィルター
• 特別なヘッダー（referer、cookie、カスタマイズされたトークンなど）に対応
• IDによる迅速な再スキャンに対応

ディレクトリ構成

├── engine.py
├── logo
├── cookie.py
├── url.txt
├── cookie
│   └── test.com_cookie
├── traffic
│   ├── 49226b2cbc77b71b.traffic    # トラフィックファイル（pickle化）
│   └── 49226b2cbc77b71b.reflect    # リフレクト結果ファイル（pickle化）
├── config.py
├── start.py
├── url.txt.filtered    # フィルター後のURL
├── util.py
├── README.md
├── banner.py
├── requirements.txt
├── result
│   └── 49226b2cbc77b71b-2019_10_29_11_24_44.json   # 結果
├── model.py
└── test.py

スクリーンショット

環境

Linux
Python2.7
ブラウザ：Phantomjs または Chrome

インストール

Ubuntu

• 1.apt-get install flex bison phantomjs
• 2.pip install -r requirements.txt

Centos

• 1.yum install flex bison phantomjs
• 2.pip install -r requirements.txt

MacOS

• 1.brew install grep findutils flex phantomjs
• 2.pip install -r requirements.txt

--browser=chrome を使用してスキャンする場合は、手動でChromeをインストールする必要があります。--check でインストールを確認できます。
python start.py --check

使い方

python start.py --url url --save
python start.py --url url --cookie cookie --browser chrome --save  
python start.py --url url --cookie cookie --browser chrome-headless --save  
python start.py --file ./url.txt --save  
python start.py --burp ./test.xml --save  
python start.py --file file --filter

オプション

--url URLからスキャン。
--id タスクIDに基づき *.traffic ファイルから再スキャン。
--file テキストファイル（例：./url.txt）からURLをスキャン。
--burp Burpsuiteプロキシからの *.xml（Base64エンコード、例：./test.xml）をスキャン。
--process プロセス数。
--coroutine コルーチン数。
--cookie Cookieを使用。
--filter URLをフィルター。
--browser ブラウザ（chrome、chrome-headless、phantomjs）を使用してスキャン。DOMベースXSSに有効だが低速。
--save 結果を ./result/id.json に保存。
--clear スキャン後にトラフィックファイルを削除。

Burpsuiteからのデータをスキャンする方法

プロキシで「Save items」→「test.xml」

その後、test.xml をスキャン：
python start.py --burp=./test.xml

再スキャン方法

初回スキャン後、./traffic/ に taskid.traffic と taskid.reflect が生成されます：

• taskid.traffic：リクエストのWebトラフィック（pickle化）。
• taskid.reflect：リフレクト結果（pickle化）。リフレクトされたパラメータ、位置、型などを含む。
  NoXss はこれらの中間ファイルを使用して再スキャンします：
  python start.py --id taskid --save

NoXss の動作原理

ペイロード

NoXss はスキャンに8つのペイロードのみを使用します。これらのペイロードはパラメータのリフレクト位置に基づいており、ペイロード数が少ないためファジングよりも高速です。

非同期＆マルチプロセス

NoXss はコルーチンによる高い同時実行性を備えています。

DOMベースXSS対応

最近のページではDOMを使用してHTMLをレンダリングするものが増えています。NoXss はPhantomjs（デフォルト）またはChromeを使用して解析できます。

解析ファイル

スキャンが難しいXSSもあります。NoXss は解析用に traffic/ にファイルを保存します。含まれるファイル：

• *.traffic（スキャン中のトラフィックファイル）
• *.reflect（パラメータのリフレクト結果）
• *.redirect（30xレスポンス）
• *.error（タイムアウト、接続リセットなどのエラー）
• *.multipart（リクエストがマルチパートフォームの場合、スキャンが難しい）

例

スクリーンショットに示すように、PoCは https://xxx/?proxyAccount=xssjs%22%3B&shareName=duhxams です。これはパラメータ "proxyAccount" にペイロード xssjs%22%3B を使用していることを意味します：

その後、ペイロード xssjs";alert(1);// で二重引用符を閉じることができます。最終的なエクスプロイトは次のとおりです：
https://xxx.com/?proxyAccount=xssjs";alert(1);//&shareName=duhxams