CookieCatcher

O CookieCatcher é uma aplicação de código aberto criada para auxiliar na exploração de vulnerabilidades XSS (Cross Site Scripting) em aplicações web, com o objetivo de roubar IDs de sessão de usuários (também conhecido como Session Hijacking). O uso desta aplicação é puramente educacional e não deve ser utilizado sem a devida permissão da aplicação alvo.

Para mais informações sobre XSS, visite o seguinte link: https://www.owasp.org/index.php/Cross-site_Scripting_(XSS)

Para mais informações sobre Session Hijacking, visite o seguinte link: https://www.owasp.org/index.php/Session_hijacking_attack

Funcionalidades

• Payloads pré-construídos para roubar dados de cookies
• Basta copiar e colar o payload em uma vulnerabilidade XSS
• Enviará notificação por e-mail quando novos cookies forem roubados
• Tentará atualizar os cookies a cada 3 minutos para evitar timeouts de inatividade
• Fornece requisições HTTP completas para sequestrar sessões através de um proxy (BuRP, etc.)
• Tentará carregar uma prévia ao visualizar os dados do cookie
• PAYLOADS
• • Ataque AJAX Básico
• • Evasão de HTTPONLY para Apache CVE-20120053
• • Mais por vir

Requisitos

O CookieCatcher é construído para uma pilha LAMP com os seguintes componentes:

• PHP 5.x.x
• PHP-cURL
• MySQL
• Lynx & crontab

Instalação

• Baixe o código-fonte do github git clone https://github.com/DisK0nn3cT/CookieCatcher.git ou use o arquivo ZIP e extraia-o em seu servidor.
• Configure o diretório como um virtualhost no Apache (Não entrarei em detalhes sobre isso, mas você pode me perguntar por e-mail ou usar o Google).
• Crie um banco de dados para a aplicação e carregue o arquivo SETUP.sql.
• Configure um cron job conforme mostrado no arquivo SETUP.cron.

DEMO

Uma demonstração ao vivo da aplicação pode ser visualizada em http://m19.us. Recomenda-se o uso de nomes de domínio curtos para reduzir o espaço de caracteres necessário para os payloads.

• Vídeo no YouTube: http://www.youtube.com/watch?v=2GH6RRozOpY

Contribuir

Se você tem ideias ou sugestões sobre como melhorar a aplicação existente e gostaria de oferecer seu tempo, entre em contato comigo por e-mail.

Créditos

@disk0nn3ct - Autor [email protected]