NoXss

NoXss — это сканер уязвимостей межсайтового скриптинга, поддерживающий отражённый XSS и DOM-основанный XSS. Он очень быстр и подходит для тестирования миллионов URL-адресов. С его помощью были найдены некоторые XSS-уязвимости в программе Bug Bounty.

Возможности

• Быстрый и подходит для тестирования миллионов URL
• Поддержка DOM-основанного XSS (использует Chrome или Phantomjs) и отражённого XSS
• Использует только 8 полезных нагрузок на основе позиции внедрения (не фаззинг, более точный, быстрее)
• Асинхронные запросы (использует gevent) и мультипроцессорность
• Поддержка одного URL, файла и трафика из Burpsuite
• Фильтр трафика на основе интерфейса
• Поддержка специальных заголовков (referer, cookie, настраиваемый токен и т.д.)
• Поддержка быстрого повторного сканирования по ID

Структура каталогов

├── engine.py
├── logo
├── cookie.py
├── url.txt
├── cookie
│   └── test.com_cookie
├── traffic
│   ├── 49226b2cbc77b71b.traffic    #traffic file(pickled)
│   └── 49226b2cbc77b71b.reflect    #reflected file(pickled)
├── config.py
├── start.py
├── url.txt.filtered    #filtered urls
├── util.py
├── README.md
├── banner.py
├── requirements.txt
├── result
│   └── 49226b2cbc77b71b-2019_10_29_11_24_44.json   #result
├── model.py
└── test.py

Скриншот

Окружение

Linux
Python2.7
Браузер: Phantomjs или Chrome

Установка

Ubuntu

• 1.apt-get install flex bison phantomjs
• 2.pip install -r requirements.txt

Centos

• 1.yum install flex bison phantomjs
• 2.pip install -r requirements.txt

MacOS

• 1.brew install grep findutils flex phantomjs
• 2.pip install -r requirements.txt

Если вы хотите сканировать с использованием "--browser=chrome", вы должны установить Chrome вручную. Вы можете использовать "--check" для проверки установки.
python start.py --check

Использование

python start.py --url url --save
python start.py --url url --cookie cookie --browser chrome --save  
python start.py --url url --cookie cookie --browser chrome-headless --save  
python start.py --file ./url.txt --save  
python start.py --burp ./test.xml --save  
python start.py --file file --filter

Параметры

--url сканирование по URL.
--id повторное сканирование из файла *.traffic по ID задачи.
--file сканирование URL из текстового файла (например, ./url.txt).
--burp сканирование *.xml (base64-кодированный, например ./test.xml) из прокси Burpsuite.
--process количество процессов.
--coroutine количество корутин.
--cookie использовать cookie.
--filter фильтровать URL.
--browser использовать браузер (chrome, chrome-headless или phantomjs) для сканирования, хорошо подходит для DOM-основанного XSS, но медленно.
--save сохранять результаты в ./result/id.json.
--clear удалять файлы трафика после сканирования.

Как сканировать данные из Burpsuite

В прокси, «Save items» ==> «test.xml»

Затем вы можете сканировать test.xml:
python start.py --burp=./test.xml

Как выполнить повторное сканирование

После первого сканирования в ./traffic/ появятся taskid.traffic и taskid.reflect:

• taskid.traffic: веб-трафик запроса (pickled).
• taskid.reflect: отражённый результат (pickled), который включает отражённые параметры, позицию отражения, тип и другое. NoXss будет использовать эти промежуточные файлы для повторного сканирования:
  python start.py --id taskid --save

Как работает NoXss?

Полезные нагрузки

NoXss использует только 8 полезных нагрузок для сканирования. Эти нагрузки основаны на позиции отражения параметра. Меньшее количество нагрузок делает сканирование быстрее фаззинга.

Асинхронность и мультипроцессорность

NoXss обладает высокой степенью параллелизма благодаря использованию корутин.

Поддержка DOM-основанного XSS

Всё больше страниц используют DOM для рендеринга HTML. NoXss может анализировать их с помощью Phantomjs (по умолчанию) или Chrome.

Файлы для анализа

Некоторые XSS-уязвимости трудно сканировать. NoXss сохраняет некоторые файлы в traffic/ для анализа, включая:

• *.traffic (файл трафика во время сканирования)
• *.reflect (результат отражения параметра)
• *.redirect (ответ 30x)
• *.error (некоторые ошибки, такие как тайм-аут, сброс соединения и т.д.)
• *.multipart (когда запрос является multipart/form-data, нелегко сканировать)

Пример

Как видно на скриншоте, PoC: https://xxx/?proxyAccount=xssjs%22%3B&shareName=duhxams. Это означает использование полезной нагрузки xssjs%22%3B в параметре «proxyAccount»:

Затем вы можете завершить двойные кавычки с помощью полезной нагрузки xssjs";alert(1);//. Финальный эксплойт:
https://xxx.com/?proxyAccount=xssjs";alert(1);//&shareName=duhxams