nccgroup/tracy웹 애플리케이션의 모든 싱크와 소스를 찾고, 이 결과를 이해하기 쉬운 방식으로 표시하도록 설계된 도구입니다.
웹 애플리케이션의 모든 싱크(sink)와 소스(source)를 찾고, 그 결과를 이해하기 쉬운 형태로 표시하도록 설계된 침투 테스트 도구입니다. tracy는 침투 테스트의 애플리케이션 매핑 단계에서 입력 소스와 해당 출력을 식별하는 데 사용해야 합니다. tracy는 이 데이터를 활용하여 특히 많은 JavaScript를 사용하는 웹 애플리케이션에서 취약한 XSS 인스턴스를 지능적으로 찾을 수 있습니다.
tracy는 브라우저 확장 프로그램으로, 웹 애플리케이션에 대한 모든 사용자 입력을 기록하고, 해당 입력이 DOM 쓰기, 서버 응답, eval 호출 등으로 출력되는 시점을 모니터링합니다.
tracy에 대한 가이드 및 참고 자료는 문서를 참조하세요.
Tracy는 이제 브라우저 확장 프로그램만 제공됩니다! 더 이상 바이너리가 필요하지 않으며, Chrome 또는 Firefox 스토어에서 다운로드하면 됩니다.
그게 전부입니다! 브라우저에 tracy가 설치되어 있으면 XSS를 찾을 준비가 완료된 것입니다. 더 이상 프록시나 인증서를 구성할 필요가 없습니다.
