Unduh dalfox - Unduh Kode Sumber dalfox

Dalfox adalah alat sumber terbuka yang kuat yang berfokus pada otomatisasi, membuatnya ideal untuk pemindaian dengan cepat untuk kekurangan XSS dan menganalisis parameter. Mesin pengujian canggih dan fitur niche dirancang untuk merampingkan proses mendeteksi dan memverifikasi kerentanan.

Adapun namanya, Dal (달) adalah kata Korea untuk "bulan," sementara "Fox" adalah singkatan dari "Finder of XSS" atau?

Fitur utama

Mode: url sxss pipe file server payload

Kelas	Fitur utama	Keterangan
Penemuan	Analisis parameter	- Temukan Param yang Dipantulkan - Temukan Karakter Khusus Hidup/Buruk, Penangan Acara dan Kode Serangan - Identifikasi titik injeksi (html/js/atribut) `inHTML-none` `inJS-none` `inJS-double` `inJS-single` `inJS-backtick` `inATTR-none` `inATTR-double` `inATTR-single`
	Analisis statis	- Periksa bad-header seperti CSP, XFO, dll. Dengan basis req/res
	Analisis BAV	- Menguji BAV (Kerentanan Dasar Lain), misalnya `sqli` `ssti` `open-redirects` , `crlf` , `esii`
	Penambangan parameter	- Temukan param baru dengan serangan kamus (default adalah pola GF) -Dukung file kamus khusus ( `--mining-dict-word` ) - Temukan param baru dengan DOM -Gunakan daftar kata jarak jauh untuk penambangan ( `--remote-wordlists` )
	Gepping bawaan	- Ini mengidentifikasi kebocoran info dasar SSTI, kredensial, kesalahan SQL, dan sebagainya
	Deteksi dan penghindaran WAF	- Deteksi ke WAF (Firewall Aplikasi Web). - Jika ditemukan WAF dan menggunakan bendera khusus, penghindaran menggunakan permintaan lambat --- `--waf-evasion`
Pemindaian	Pemindaian XSS	- XSS / Simpan XSS / DOM XSS yang dipantulkan - Dom Base Verifikasi - Verifikasi basis tanpa kepala -Pengujian XSS Blind dengan Param, Header ( `-b` , -Opsi `--blind` ) -Hanya menguji parameter yang dipilih ( `-p` , `--param` ) -Hanya analisis parameter pengujian ( `--only-discovery` )
	Pipa yang ramah	- Mode URL tunggal ( `dalfox url` ) - Dari Mode File ( `dalfox file urls.txt` ) - Dari mode IO (pipa) ( `dalfox pipe` ) -Dari Mode File Permintaan HTTP RAW ( `dalfox file raw.txt --rawdata` )
	Kueri optimasi muatan	- Periksa titik injeksi melalui abstraksi dan menghasilkan muatan fit. - Menghilangkan muatan yang tidak perlu berdasarkan Badchar
	Encoder	- Semua muatan uji (built-in, kustom/buta Anda) diuji secara paralel dengan encoder. - Untuk menggandakan encoder URL - ke html hex encoder
	Urutan	-Auto-periksa halaman khusus untuk XSS yang disimpan ( `--trigger` ) -Opsi Dukungan ( `--sequence` ) untuk XSS yang disimpan, hanya mode `sxss`
Http	Opsi HTTP	-Metode HTTP Timpa ( `-X` , `--method` ) -Ikuti Redirects ( `--follow-redirects` ) -Tambahkan header ( `-H` , `--header` ) -Tambahkan cookie ( `-C` , `--cookie` ) -Tambahkan agen pengguna ( `--user-agent` ) -Atur timeout ( `--timeout` ) -Set Delay ( `--delay` ) -Set Proxy ( `--proxy` ) -Set abaikan kode pengembalian ( `--ignore-return` ) -Muat cookie dari permintaan mentah ( `--cookie-from-raw` )
Konkurensi	Pekerja	-Setel nomor pekerja ( `-w` , `--worker` )
	N * host	-Gunakan mode multicast ( `--multicast` ), hanya mode `file` / `pipe`
Keluaran	Keluaran	- Hanya kode POC dan informasi berguna yang ditulis sebagai stdout -Simpan output ( `-o` , `--output` )
	Format	-json / polos ( `--format` )
	Pencetakan	-Mode keheningan ( `--silence` ) -Anda dapat memilih untuk tidak mencetak warna ( `--no-color` ) -Anda dapat memilih untuk tidak mencetak pemintal ( `--no-spinner` ) -Anda dapat memilih hanya menunjukkan kode POC khusus ( `--only-poc` )
	Laporan	-Tampilkan Laporan Detail ( `--report` dan `--report-format=<plain/json>` )
Kemungkinan diperpanjang	API istirahat	- API Server dan Swagger ( `dalfox server` )
	Mode muatan	- menghasilkan dan menyebutkan muatan untuk pengujian XSS ( `dalfox payload` )
	Menemukan tindakan	- Memungkinkan Anda menentukan tindakan yang harus diambil saat terdeteksi. -Notify, misalnya ( `--found-action` ))
	Kustom grepping	- Dapat grep dengan ekspresi reguler khusus tentang respons -Jika deteksi duplikat, itu melakukan deduplikasi ( `--grep` )
	Muatan khusus	-Gunakan file daftar payload khusus ( `--custom-payload` ) -Nilai Peringatan Kustom ( `--custom-alert-value` ) -Tipe Peringatan Kustom ( `--custom-alert-type` )
	Muatan jarak jauh	-Gunakan muatan jarak jauh dari portswigger, payloadbox, dll. ( `--remote-payloads` )
Kemasan	Manajer Paket	- pkg.go.dev - Homebrew with Tap - Snapcraft
	Docker Env	- Hub Docker - Paket GitHub dari Docker
	Lainnya	- Tindakan GitHub

Dan berbagai opsi yang diperlukan untuk pengujian: D

Cara menginstal

Menggunakan Homebrew (MacOS)

brew install dalfox

# https://formulae.brew.sh/formula/dalfox

Menggunakan Snapcraft (Ubuntu)

 sudo snap install dalfox

Dari sumber

go install github.com/hahwul/dalfox/v2@latest

# The actual release might slightly differ. This is because go install references the main branch.

Informasi lebih lanjut? Harap Baca Panduan Instalasi

Penggunaan

 dalfox [mode] [target] [flags]

Mode target tunggal

dalfox url http://testphp.vulnweb.com/listproducts.php ? cat = 123 & artist = 123 & asdf = ff 
	-b https://your-callback-url

Beberapa mode target dari file

dalfox file urls_file --custom-payload ./mypayloads.txt

Mode pipa

cat urls_file | dalfox pipe -H " AuthToken: bbadsfkasdfadsf87 "

Kiat lain, lihat wiki untuk instruksi terperinci!

Format POC

Contoh log POC

 [POC][G][BUILT-IN/dalfox-error-mysql/GET] http://testphp.vulnweb.com/listproducts.php?artist=123&asdf=ff&cat=123DalFox
[POC][V][GET] http://testphp.vulnweb.com/listproducts.php?artist=123&asdf=ff&cat=123%22%3E%3Csvg%2Fclass%3D%22dalfox%22onLoad%3Dalert%2845%29%3E

Format

Identitas	Jenis	Informasi	Kode POC
Poc	G	Bawaan/dalfox-error-mysql/get	http://testphp.vulnweb.com/listproducts.php?artist=123&asdf=ff&cat=123dalfox
Poc	R	MENDAPATKAN	http://testphp.vulnweb.com/listproducts.php?artist=123&asdf=ff&cat=123%22%3e%3csvg%2fclass%3D%22dalfox%22onLoad%3Dalert%2845%3E
Poc	V	MENDAPATKAN	http://testphp.vulnweb.com/listproducts.php?artist=123&asdf=ff&cat=123%22%3e%3csvg%2fclass%3D%22dalfox%22onLoad%3Dalert%2845%3E

Jenis: G (grep), R (tercermin), V (verifikasi)
Informasi: Metode, nama grepping, dll.

Mengapa ada celah? Ini adalah metode untuk membuatnya lebih mudah untuk menguraikan hanya kode POC melalui potongan dll. Misalnya, Anda dapat melakukan ini.

dalfox url http://testphp.vulnweb.com/listproducts.php ? cat = 123 & artist = 123 & asdf = ff 
	| cut -d " " -f 2 > output
cat output
# http://testphp.vulnweb.com/listproducts.php?artist=123&asdf=ff&cat=123DalFox
# http://testphp.vulnweb.com/listproducts.php?artist=123&asdf=ff&cat=123%22%3E%3Csvg%2FOnLoad%3D%22%60%24%7Bprompt%60%60%7D%60%22+class%3Ddalfox%3E

Dalam kode

 package main

import (
	"fmt"

	dalfox "github.com/hahwul/dalfox/v2/lib"
)

func main () {
	opt := dalfox. Options {
		Cookie :     "ABCD=1234" ,
	}
	result , err := dalfox . NewScan (dalfox. Target {
		URL :     "https://xss-game.appspot.com/level1/frame" ,
		Method :  "GET" ,
		Options : opt ,
	})
	if err != nil {
		fmt . Println ( err )
	} else {
		fmt . Println ( result )
	}
}

go build -o xssapp ; ./xssapp
# [] [{V GET https://xss-game.appspot.com/level1/frame?query=%3Ciframe+srcdoc%3D%22%3Cinput+onauxclick%3Dprint%281%29%3E%22+class%3Ddalfox%3E%3C%2Fiframe%3E}] 2.618998247s 2021-07-11 10:59:26.508483153 +0900 KST m=+0.000794230 2021-07-11 10:59:29.127481217 +0900 KST m=+2.619792477}