xsscrapy

========

Rastreador rápido e completo para XSS/SQLi. Forneça uma URL e ele testará cada link que encontrar para vulnerabilidades de cross-site scripting e algumas de injeção SQL. Consulte a FAQ para mais detalhes sobre a detecção de SQLi.

A partir da pasta principal, execute:

./xsscrapy.py -u http://example.com

Se desejar fazer login e depois rastrear:

./xsscrapy.py -u http://example.com/login_page -l loginname

Se desejar fazer login com HTTP Basic Auth e depois rastrear:

./xsscrapy.py -u http://example.com/login_page -l loginname --basic

Se desejar usar cookies:

./xsscrapy.py -u http://example.com/login_page --cookie "SessionID=abcdef1234567890"

Se desejar limitar conexões simultâneas a 20:

./xsscrapy.py -u http://example.com -c 20

Se desejar limitar a taxa para 60 requisições por minuto:

./xsscrapy.py -u http://example.com/ -r 60

As vulnerabilidades XSS são relatadas em xsscrapy-vulns.txt

Dependências

wget -O -u https://bootstrap.pypa.io/get-pip.py
python get-pip.py
pip install -r requirements.txt

Podem ser necessárias bibliotecas adicionais dependendo do sistema operacional. libxml2 libxslt zlib libffi openssl (às vezes libssl-dev)

Testes

• Cookies
• User-Agent
• Referer
• Variáveis de URL
• Final da URL
• Caminho da URL
• Formulários tanto ocultos quanto explícitos

FAQ

• Se ocorrer um erro: ImportError: cannot import name LinkExtractor. Isso significa que você não tem a versão mais recente do Scrapy. Pode instalá-la usando: sudo pip install --upgrade scrapy.
• Chama-se XSScrapy, então por que também detecção de injeção SQL? Há sobreposição entre caracteres perigosos de XSS e caracteres perigosos de injeção SQL, nomeadamente aspas simples e duplas. Detectar erros de injeção SQL em uma resposta também é simples e não consome muita CPU. Portanto, embora 99% deste script seja fortemente voltado para a detecção alta e precisa de XSS, adicionar detecção simples de injeção SQL por meio da descoberta de mensagens de erro é uma adição simples e eficaz. Este script não testará injeção SQL cega. As mensagens de erro que ele procura vêm diretamente do plugin de auditoria SQLi do w3af.

Licença

Copyright (c) 2014, Dan McInerney Todos os direitos reservados.

A redistribuição e uso em formas de código fonte e binárias, com ou sem modificação, são permitidos desde que as seguintes condições sejam cumpridas:

• As redistribuições do código fonte devem manter o aviso de copyright acima, esta lista de condições e o aviso de isenção de responsabilidade a seguir.
• As redistribuições em formato binário devem reproduzir o aviso de copyright acima, esta lista de condições e o aviso de isenção de responsabilidade a seguir na documentação e/ou outros materiais fornecidos com a distribuição.
• Nem o nome de Dan McInerney nem os nomes de seus contribuidores podem ser usados para endossar ou promover produtos derivados deste software sem permissão prévia por escrito específica.

ESTE SOFTWARE É FORNECIDO PELOS DETENTORES DE DIREITOS AUTORAIS E COLABORADORES "COMO ESTÁ" E QUAISQUER GARANTIAS EXPRESSAS OU IMPLÍCITAS, INCLUINDO, MAS NÃO SE LIMITANDO ÀS GARANTIAS IMPLÍCITAS DE COMERCIALIZAÇÃO E ADEQUAÇÃO A UM FIM ESPECÍFICO SÃO REJEITADAS. EM NENHUM CASO O SERÁ RESPONSÁVEL POR QUAISQUER DANOS DIRETOS, INDIRETOS, INCIDENTAIS, ESPECIAIS, EXEMPLARES OU CONSEQUENCIAIS (INCLUINDO, MAS NÃO SE LIMITANDO A, OBTENÇÃO DE BENS OU SERVIÇOS SUBSTITUTOS; PERDA DE USO, DADOS OU LUCROS; OU INTERRUPÇÃO DE NEGÓCIOS) NO ENTANTO CAUSADOS E EM QUALQUER TEORIA DE RESPONSABILIDADE, SEJA EM CONTRATO, RESPONSABILIDADE ESTRITA OU ATO ILÍCITO (INCLUINDO NEGLIGÊNCIA OU OUTRO) DECORRENTE DE QUALQUER FORMA DO USO DESTE SOFTWARE, MESMO SE AVISADO DA POSSIBILIDADE DE TAIS DANOS.