toxssin

目的

toxssinは、クロスサイトスクリプティング（XSS）脆弱性の悪用プロセスを自動化するオープンソースのペネトレーションテストツールです。このツールは、悪意のあるJavaScriptペイロード（toxin.js）によって生成されるトラフィックのインタプリタとして機能するhttpsサーバーで構成されています。

このプロジェクトは、（現在も）バニラJavaScript、信頼できる証明書、そして安価なトリックを用いてXSS脆弱性がもたらす悪用の深さを探求する、研究ベースの創造的な試みとして始まりました。

免責事項: 明示的なテスト許可がないウェブアプリに対してこのツールを使用することは違法です。このツールを使用して引き起こしたトラブルについては、あなた自身が責任を負います。

ビデオプレゼンテーション

https://www.youtube.com/watch?v=Z9I4UJUBrrY

スクリーンショット

その他のスクリーンショットはこちらをご覧ください。

機能

デフォルトでは、toxssinのJavaScriptポイズンは自動的にウェブページの要素や情報に拡散し、XMLHttpRequestオブジェクトを悪用して以下を傍受します：

• クッキー（HttpOnlyが設定されていない場合）
• キーストローク（技術的にはアクティブキーロガー）
• ペーストイベント
• 入力変更イベント
• ファイル選択
• フォーム送信
• サーバーレスポンス（フォーム送信や、同じページの内部部分ではなく別のページをターゲットとしたハイパーリンクのクリックに対する）
• テーブルデータ（静的データ、およびページ読み込み完了後のテーブルの更新）

最も重要な点として、toxssinは：

• HTTPリクエストとレスポンスを傍受し、ドキュメントを書き換えることで、ユーザーがウェブサイトを閲覧中にXSSの持続性を作り出そうと試みます。実際にはドキュメントの位置は変更されていないのに、あたかもナビゲーションしているかのような錯覚を生み出します。
• セッション管理をサポートしています（XSSベースのフィッシングキャンペーンを実行したり、格納型XSSを悪用するなど、複数のターゲットを同時に悪用するために使用できます）。
• セッションに対するカスタムJSスクリプトの実行をサポートしています（ブラウザがフックされた後、それに対してカスタムJSスクリプトを実行できます）。
• すべてのセッションを自動的に記録します。

インストールと使用方法

git clone https://github.com/t3l3machus/toxssin
cd ./toxssin
pip3 install -r requirements.txt

toxssin.pyを起動するには、SSL証明書と秘密鍵ファイルを指定する必要があります。

信頼できる証明書を持つドメインを所有していない場合、以下のコマンドで自己署名証明書を発行して使用できます（ただし、これではあまり効果はありません）。

openssl req -x509 -newkey rsa:2048 -keyout key.pem -out cert.pem -days 365

信頼できる証明書を使用してtoxssinを実行することを強くお勧めします（このドキュメントの有効な証明書を取得する方法を参照）。とはいえ、次のようにtoxssinサーバーを起動することもできます：

python3 toxssin.py -u https://your.domain.com -c /your/certificate.pem -k /your/privkey.pem

追加情報については、プロジェクトのwikiをご覧ください。

XSS悪用の障害

私の経験では、外部JSスクリプトを含めようとするクロスサイトスクリプティング攻撃には、主に4つの障害があります。

1. "Mixed Content"エラー。これは、JavaScriptペイロードをhttps経由で提供することで解決できます（自己署名証明書でも可）。
2. "NET::ERR_CERT_AUTHORITY_INVALID"エラー。これはサーバーの証明書が信頼されていない、または期限切れであることを示し、信頼できる認証局によって発行された証明書を使用することで回避できます。
3. クロスオリジンリソース共有（CORS）。toxssinサーバーが適切に処理します。
4. Content-Security-Policyヘッダーでscript-srcが特定のドメインのみに設定されている場合、クロスドメインのsrcを持つスクリプトの読み込みがブロックされます。Toxssinはeval()関数に依存して毒を配信するため、ウェブサイトにCSPがあり、script-srcディレクティブにunsafe-evalソース式が指定されていない場合、攻撃はほぼ失敗します（これに対処するため、2番目の毒配信方法を研究中です）。

注記: "Mixed Content"エラーは、ターゲットのウェブサイトがhttp経由でホストされ、JavaScriptペイロードがhttps経由で提供される場合にも発生します。これにより、toxssinの対象はhttpsのみのウェブサイトに限定されます（デフォルトでは、toxssinはsslのみで起動されるため）。

信頼できる証明書を取得する方法

まず、ドメイン名を所有する必要があります。

無料でドメインを登録する

無料のオプションはfreenomで探すことができます。正しく行うのは少し難しいです。この説明ビデオに従うことをお勧めします。また、初めてアカウントを作成する場合は、選択した国があなたのIPアドレスと一致していることを確認してください。そうしないとエラーが発生する可能性があります。

標準的な（有料）方法

レジストラサービス（例：https://www.namecheap.com/）からドメインを購入します。最も経済的な方法は、ランダムな文字列のドメイン名（例："fvcm98duf"）を検索し、.xyzのようなあまり人気のないTLDをチェックすることです。おそらく年間3ドル程度でしょう。

信頼できる証明書を取得する

ドメイン名を購入したら、certbot（Let's Encrypt）を使用して5分以内に信頼できる証明書を取得できます：

1. ドメインのDNS設定にAレコードを追加し、サーバーのIPアドレスを指定します。
2. certbotの公式手順に従います。

ヒント: certbotを自分だけでインストールして実行しないでください。予期しないエラーが発生する可能性があります。指示に従ってください。

変更履歴

2022-06-19 - execプロンプトコマンドを追加しました（セッションに対してカスタムJSスクリプトを実行できるようになりました）。
2022-06-23 - execプロンプトコマンドをテストするためのテンプレートとして、2つのシンプルでダーティなスクリプトを追加しました。また、cmdプロンプトの過去履歴へのアクセスを修正し、いくつかの改善を行いました。

将来の計画

目標は、よりシャープで信頼性の高いものにし、その機能を拡張することです。現在、ファイルキャプチャの改善に取り組んでいます。