CookieCatcher

CookieCatcher — это приложение с открытым исходным кодом, созданное для помощи в эксплуатации уязвимостей XSS (межсайтовый скриптинг) в веб-приложениях с целью кражи идентификаторов сессий пользователей (также известного как перехват сессии). Использование данного приложения носит исключительно образовательный характер и не должно применяться без соответствующего разрешения целевого приложения.

Для получения дополнительной информации о XSS перейдите по следующей ссылке: https://www.owasp.org/index.php/Cross-site_Scripting_(XSS)

Для получения дополнительной информации о перехвате сессий перейдите по следующей ссылке: https://www.owasp.org/index.php/Session_hijacking_attack

Возможности

• Предварительно созданные полезные нагрузки для кражи данных cookie
• Просто скопируйте и вставьте полезную нагрузку в уязвимость XSS
• Отправка уведомлений по электронной почте при краже новых cookie
• Попытка обновлять cookie каждые 3 минуты для предотвращения тайм-аутов бездействия
• Предоставляет полные HTTP-запросы для перехвата сессий через прокси (BuRP и др.)
• Попытка загрузить предварительный просмотр при просмотре данных cookie
• ПОЛЕЗНЫЕ НАГРУЗКИ
• • Базовая атака AJAX
• • Обход HTTPONLY для Apache CVE-20120053
• • И другие

Требования

CookieCatcher разработан для стека LAMP, работающего со следующим:

• PHP 5.x.x
• PHP-cURL
• MySQL
• Lynx и crontab

Установка

• Загрузите исходный код с github: git clone https://github.com/DisK0nn3cT/CookieCatcher.git или используйте ZIP-файл и распакуйте его на вашем сервере.
• Настройте каталог как виртуальный хост в Apache (я не буду вдаваться в эти подробности, однако вы можете спросить меня по электронной почте или воспользоваться Google).
• Создайте базу данных для приложения и загрузите файл SETUP.sql.
• Настройте задачу cron, как показано в файле SETUP.cron.

ДЕМО

Живое демо приложения доступно по адресу http://m19.us. Рекомендуется использовать короткие доменные имена, чтобы уменьшить количество символов, необходимых для полезных нагрузок.

• Видео на YouTube: http://www.youtube.com/watch?v=2GH6RRozOpY

Вклад в проект

Если у вас есть идеи или предложения по улучшению существующего приложения, и вы хотели бы уделить своё время, пожалуйста, свяжитесь со мной по электронной почте.

Благодарности

@disk0nn3ct — автор [email protected]