yeswehack/pwnfox단일 클릭 프록시, 컨테이너 프로필, postMessage 로깅, JS 인젝션 도구 상자 및 보안 헤더 제거 기능을 갖춘 보안 감사용 Firefox/Burp 확장 프로그램.
PwnFoxPwnFox는 보안 감사를 위한 유용한 도구를 제공하는 Firefox/Burp 확장 프로그램입니다.
Chrome 사용자라면 https://github.com/nccgroup/autochrome을 확인해보세요.
간단한 클릭으로 Burp에 연결하세요. 이렇게 하면 foxyProxy와 같은 다른 애드온이 필요하지 않을 수 있습니다. 하지만 foxyProxy가 제공하는 추가 기능이 필요하다면 이 옵션을 체크 해제하면 됩니다.
PwnFox는 Firefox 컨테이너에 빠르게 접근할 수 있도록 해줍니다. 이를 통해 동일한 브라우저에서 여러 개의 신원을 사용할 수 있습니다.
PwnFox와 Add container header 옵션이 활성화되면, PwnFox는 자동으로 X-PwnFox-Color 헤더를 추가하여 Burp에서 쿼리를 강조 표시합니다.
PwnFoxBurp는 헤더를 자동으로 강조 표시하고 제거하지만, logger++와 같은 애드온을 사용하여 자신만의 동작을 지정할 수도 있습니다.
PwnFox는 개발자 도구에 새 메시지 탭을 추가합니다. 이를 통해 프레임 간의 모든 postMessage를 빠르게 시각화할 수 있습니다.
메시지를 구문 분석/필터링하는 자신만의 함수를 제공할 수도 있습니다. 3개의 인수에 접근할 수 있습니다:
문자열이나 JSON 직렬화 가능 객체를 반환할 수 있습니다.
페이지 로드 시 자신만의 JavaScript 코드를 주입하세요. 코드는 가능한 한 빨리 로드됩니다. 이는 위험한 동작 탐지를 추가하거나 js 콘솔에 추가 기능을 제공하는 데 사용할 수 있습니다.
주의하세요, 주입된 도구 상자는 window 컨텍스트에서 실행됩니다. 신뢰할 수 없는 도메인에 비밀을 주입하지 마세요.
곧 제 도구 상자 중 일부를 공개할 예정입니다 (ENOTIME)
때로는 보안 헤더를 비활성화한 상태로 작업하는 것이 더 쉽습니다. 이제 한 번의 버튼 클릭으로 비활성화할 수 있습니다. 최종 페이로드를 테스트하기 전에 다시 활성화하는 것을 잊지 마세요.
제거되는 헤더:
최신 빌드는 다음에서 찾을 수 있습니다:
about:addons를 방문하여 파일에서 설치를 선택한 다음 PwnFox-$version.xpi를 선택하세요.PwnFox-Burp.jar를 Java 확장 프로그램으로 추가하세요.cd firefox
web-ext build
# the zip file is available in /firefox/web-ext-artifacts/pwnfox-${version}.zip
# Optional. If you want to sign you own build
web-ext sign --api-key="$KEY" --api-secret="$SECRET"
# the xpi file is available in /firefox/web-ext-artifacts/pwnfox-${version}.xpi
Intellij IDEA로 열고 컴파일하세요.