freeBuf
主站

分类

漏洞 工具 极客 Web安全 系统安全 网络安全 无线安全 设备/客户端安全 数据安全 安全管理 企业安全 工控安全

特色

头条 人物志 活动 视频 观点 招聘 报告 资讯 区块链安全 标准与合规 容器安全 公开课

官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户,每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序

FreeBuf+小程序

DalFox:一款基于Golang开发的XSS参数分析和扫描工具
2020-06-22 15:00:09

DalFox是一款功能强大的XSS参数分析和扫描工具,该工具基于Golang开发,可以帮助广大研究人员通过分析参数,来寻找XSS漏洞,并基于DOM解析器来对找到的XSS漏洞进行验证。    

核心功能

1、参数分析(寻找反射参数,寻找存在问题的字符,识别注入点);

2、静态分析(检测存在问题的Header,例如CSP、X-Frame-optiopns等);

3、优化Payload查询,通过Payload生成检查注入点,消除不必要的Payload;

4、XSS扫描,支持反射型和存储型;

5、所有的测试Payload已通过编码器测试,支持双重URL编码和HTML十六进制编码;

6、友好的管道支持(单一URL、文件和IO);

工具安装

目前,DalFox提供了三种安装方式,但我个人建议使用go安装。

开发者版本(go-get或go-install)

go-install

使用下列命令将该项目源码克隆至本地:

$ git clone https://github.com/hahwul/dalfox

在本地DalFox项目目录下使用下列命令完成安装:

$ go install

使用dalfox:

$ ~/go/bin/dalfox

go-get

使用下列命令下载和安装DalFox:

$ go get -u github.com/hahwul/dalfox

使用dalfox:

$ ~/go/bin/dalfox

发布版本

首先,访问该项目GitHub库的Release页面下载最新版本的DalFox:【传送门】。

针对你自己的操作系统版本,下载并提取对应版本的DalFox。

你也可以直接将其放入可执行目录中,比如说:

$ cp dalfox /usr/bin/

工具使用

$ dalfox [mode] [flags]

单一目标模式:

$ dalfox url http://testphp.vulnweb.com/listproducts.php\?cat\=123\&artist\=123\&asdf\=ff -b https://hahwul.xss.ht

多目标模式,从文件读取扫描目标:

$ dalfox file urls_file --custom-payload ./mypayloads.txt

管道模式:

$ cat urls_file | dalfox pipe -H "AuthToken: bbadsfkasdfadsf87"

工具运行截图

 

 项目地址

DalFox:【GitHub传送门

*参考来源:hahwul,FB小编Alpha_h4ck编译,转载请注明来自FreeBuf.COM

# 网络安全 # DalFox # 参数分析与扫描
本文为 独立观点,未经允许不得转载,授权请联系FreeBuf客服小蜜蜂,微信:freebee2022
被以下专辑收录,发现更多精彩内容
+ 收入我的专辑
+ 加入我的收藏
相关推荐
  • 0 文章数
  • 0 关注者