XSS Catcher

Blind XSS 탐지 및 XSS 데이터 캡처 프레임워크로, Flask, VueJS 및 PostgreSQL 기반입니다.

XSS Catcher는 블라인드 크로스 사이트 스크립팅(XSS) 공격과 데이터 수집(스크린샷 포함)을 자동화하는 직관적인 도구입니다. 사용자 친화적인 페이로드 생성기를 통해 커스터마이징 가능한 XSS 페이로드를 만들 수 있으며, 웹훅 및 이메일 알림, 다중 인증, 다중 사용자 액세스와 같은 기능을 제공합니다. 간단하게 설계되어 Slack, Discord와 같은 플랫폼에 쉽게 통합되며, 쿠키, 로컬 스토리지, 세션 스토리지 등을 포함한 포괄적인 데이터를 캡처하고, HTTP 헤더 및 DOM 스냅샷과 같은 상세 정보를 제공합니다. 또한 고급 자동화를 위한 API 키를 지원하여 XSS 테스트를 간소화하고 복잡한 공격 시나리오를 보다 쉽게 관리할 수 있게 합니다.

기능 • 설치 • 업데이트 • 첫 로그인 • API 문서 • 데모 • 문제 해결 • 크레딧

스크린샷

기능

사용하기 쉬운 페이로드 생성기로 간단하고 맞춤형 XSS 페이로드 생성
웹훅(Slack, Discord 또는 자동화 형식) 및 이메일을 통해 새로운 XSS가 포착될 때 알림 전송
대상 이메일 또는 웹훅을 전역 및 클라이언트별로 구성 가능
관리자 및 낮은 권한 사용자를 포함한 다중 사용자
TOTP 기반 다중 인증
쿠키, 로컬 스토리지, 세션 스토리지 등 캡처 가능
HTTP 헤더, 소스 IP 주소, 타임스탬프 등 XSS 관련 추가 정보 저장
"포괄 수집" 엔드포인트 역할. GET(쿼리 문자열) 또는 POST(본문)로 데이터를 클라이언트 URL에 보내기만 하면 XSS Catcher가 캡처합니다!
html2canvas 및 fingerprintjs 활용
전체 DOM을 캡처하여 페이로드가 어디서 트리거되었는지 쉽게 확인 가능
XSS에 사용자 정의 태그를 추가하여 더 잘 분류하고 검색할 수 있음
사용자 정의 JavaScript 코드를 실행하고 출력을 캡처할 수 있음
웹훅과 결합하여 고급 공격 시나리오를 자동화할 수 있는 사용자당 최대 5개의 API 키 지원

설치

XSS Catcher를 실행하는 가장 쉬운 방법은 Dockerhub 이미지를 사용하는 것입니다(Docker 필요):

# 포트 8080에 애플리케이션 노출하여 실행
$ docker run -p 8080:80 daxhackerman/xss-catcher

# 기본적으로 컨테이너는 영속성이 없습니다. 필요시 볼륨 설정 가능
$ docker volume create xsscatcher-db
$ docker run -p 8080:80 -v xsscatcher-db:/var/lib/postgresql/14/main/ -d --name xsscatcher daxhackerman/xss-catcher

직접 이미지를 빌드하려면 Git 및 선택적으로 make가 필요합니다. 명령줄에서:

# 이 저장소 복제
$ git clone https://github.com/daxAKAhackerman/XSS-Catcher.git

# 저장소로 이동
$ cd XSS-Catcher

# 아래 명령어는 모두 make를 사용합니다. make가 없는 시스템에서는 Makefile을 확인하고 필요한 명령어를 수동으로 실행하세요(build, start 또는 stop 아래)

# 애플리케이션을 처음 실행하는 경우 빌드
$ make

# 애플리케이션 시작. 포트 8080에서 수신 대기합니다.
$ make start

# 완료되면 애플리케이션 중지
$ make stop

# 필요시 애플리케이션 업데이트
$ git pull && make stop; make && make start

첫 로그인

웹 인터페이스 연결을 위한 기본 자격 증명은 admin:xss입니다.
Makefile을 통해 실행 시 기본 웹 포트는 8080입니다.

데모

스크린샷

API 문서

Postman 컬렉션은 여기에서 확인할 수 있습니다: https://www.postman.com/maintenance-architect-74448403/workspace/xss-catcher

문제 해결

JavaScript 혼합 콘텐츠 오류

XSS 페이로드가 트리거될 때 JavaScript 혼합 콘텐츠 오류를 방지하려면 유효한 TLS 인증서를 제공하는 리버스 프록시 뒤에 XSS Catcher를 두는 것이 좋습니다.

크레딧

면책 조항

이 도구를 상호 동의 없이 대상을 공격하는 데 사용하는 것은 불법입니다. 최종 사용자는 모든 해당 지역, 주 및 연방 법률을 준수할 책임이 있습니다. 당사는 어떠한 책임도 지지 않으며, 이 도구의 오용 또는 손해에 대해 책임을 지지 않습니다.

XSS-Catcher

인기