toxssin

Propósito

O toxssin é uma ferramenta de teste de penetração open-source que automatiza o processo de exploração de vulnerabilidades de Cross-Site Scripting (XSS). Consiste em um servidor https que atua como intérprete para o tráfego gerado pelo payload JavaScript malicioso que alimenta esta ferramenta (toxin.js).

Este projeto começou como (e ainda é) um esforço criativo baseado em pesquisa para explorar a profundidade de exploração que uma vulnerabilidade XSS pode introduzir usando JavaScript vanilla, certificados confiáveis e truques baratos.

Aviso: Usar esta ferramenta contra aplicações web para as quais você não tem permissão explícita para testar é ilegal. Você é responsável por qualquer problema que possa causar ao usar esta ferramenta.

Apresentação em Vídeo

https://www.youtube.com/watch?v=Z9I4UJUBrrY

Capturas de Tela

Encontre mais capturas de tela aqui.

Capacidades

Por padrão, o veneno JavaScript do toxssin se espalha automaticamente pelos elementos e informações de uma página web, abusando do objeto XMLHttpRequest para interceptar:

• cookies (se HttpOnly não estiver presente),
• teclas pressionadas (tecnicamente, um keylogger ativo),
• eventos de colagem,
• eventos de alteração de entrada,
• seleções de arquivos,
• envios de formulários,
• respostas do servidor (a envios de formulários ou ao clicar em hiperlinks que direcionam para páginas diferentes e não partes internas da mesma página),
• dados de tabela (estáticos, bem como atualizações em tabelas após a página terminar de carregar),

Mais importante, o toxssin:

• tenta criar persistência XSS enquanto o usuário navega pelo site, interceptando requisições & respostas http e reescrevendo o documento, criando a ilusão de navegação quando, na verdade, a localização do documento nunca muda,
• suporta gerenciamento de sessão (você pode usá-lo para explorar múltiplos alvos ao mesmo tempo, por exemplo, executando uma campanha de phishing baseada em XSS ou explorando XSS armazenado),
• suporta execução de scripts JS personalizados contra sessões (após um navegador ser comprometido, você pode executar scripts JS personalizados contra ele),
• registra automaticamente todas as sessões.

Instalação e Uso

git clone https://github.com/t3l3machus/toxssin
cd ./toxssin
pip3 install -r requirements.txt

Para iniciar o toxssin.py, você precisará fornecer arquivos de certificado SSL e chave privada.

Se você não possui um domínio com um certificado confiável, pode emitir e usar certificados autoassinados com o seguinte comando (embora isso não te leve longe):

openssl req -x509 -newkey rsa:2048 -keyout key.pem -out cert.pem -days 365

É fortemente recomendado executar o toxssin com um certificado confiável (veja Como obter um Certificado Válido neste documento). Dito isso, você pode iniciar o servidor toxssin assim:

python3 toxssin.py -u https://your.domain.com -c /your/certificate.pem -k /your/privkey.pem

Visite a wiki do projeto para informações adicionais.

Obstáculos na Exploração de XSS

Na minha experiência, existem 4 grandes obstáculos quando se trata de ataques de Cross-Site Scripting que tentam incluir scripts JS externos:

1. o erro "Mixed Content", que pode ser resolvido servindo o payload JavaScript via https (mesmo com um certificado autoassinado).
2. o erro "NET::ERR_CERT_AUTHORITY_INVALID", que indica que o certificado do servidor não é confiável / expirou e pode ser contornado usando um certificado emitido por uma Autoridade confiável.
3. Compartilhamento de recursos de origem cruzada (CORS), que é tratado adequadamente pelo servidor toxssin.
4. O cabeçalho Content-Security-Policy com script-src definido apenas para domínios específicos bloqueará o carregamento de scripts com src de domínios cruzados. O Toxssin depende da função eval() para entregar seu veneno, então, se o site tiver uma CSP e a expressão de origem unsafe-eval não estiver especificada na diretiva script-src, o ataque provavelmente falhará (estou trabalhando em um segundo método de entrega de veneno para contornar isso).

Nota: O erro "Mixed Content" pode, obviamente, ocorrer quando o site alvo é hospedado via http e o payload JavaScript via https. Isso limita o escopo do toxssin a sites https apenas, pois (por padrão) o toxssin é iniciado apenas com ssl.

Como obter um Certificado Confiável

Primeiro, você precisa ter um nome de domínio.

Registrar um domínio gratuitamente

Você pode pesquisar opções gratuitas no freenom. É um pouco complicado fazê-lo corretamente. Sugiro seguir este vídeo instrutivo. Além disso, se você criar uma conta pela primeira vez, certifique-se de que o País selecionado corresponda ao seu endereço IP, caso contrário, poderá receber erros.

Método padrão (pago)

Compre um domínio de um serviço de registro (ex.: https://www.namecheap.com/). A maneira mais econômica é pesquisar por um nome de domínio aleatório (ex.: "fvcm98duf") e verificar os TLDs menos populares, como .xyz, pois provavelmente custarão cerca de $3 por ano.

Obter um certificado confiável

Depois de adquirir um nome de domínio, você pode usar o certbot (Let's Encrypt) para obter um certificado confiável em 5 minutos ou menos:

1. Adicione um registro A às configurações de DNS do seu domínio para que ele aponte para o IP do seu servidor,
2. Siga as instruções oficiais do certbot.

Dica: Não instale e execute o certbot por conta própria, você pode obter erros inesperados. Siga as instruções.

Changelog

2022-06-19 - Adicionado o comando exec no prompt (agora você pode executar scripts JS personalizados contra uma sessão).
2022-06-23 - Adicionei dois scripts simples e sujos como modelos para testar o comando exec no prompt. Também corrigi o acesso ao histórico reverso do prompt cmd e fiz algumas melhorias.

Futuro

A ideia é torná-lo mais afiado, mais confiável e expandir suas capacidades. Atualmente, estou trabalhando em melhorias na captura de arquivos.