Dalfox
Быстрый и полностью открытый сканер XSS-уязвимостей, заточенный под автоматизацию: встраивается в CI/CD и bug bounty пайплайны, анализирует параметры, DOM-контекст и применяет умную фильтрацию ложных срабатываний. Активно развивается, широко используется в реальных программах поиска уязвимостей.
go install github.com/hahwul/dalfox/v2@latest dalfox url https://target.example.com/page?param=test dalfox file urls.txt --silence
Ищете версию на Go (v2.x)? Dalfox v3 — это полная переработка на Rust. Исходный код на Go сохранён на ветке
v2и продолжает получать исправления безопасности. Ознакомьтесь с политикой поддержки в SECURITY.md.
Dalfox — это мощный инструмент с открытым исходным кодом, ориентированный на автоматизацию, что делает его идеальным для быстрого сканирования на уязвимости XSS и анализа параметров. Его передовой движок тестирования и специфические функции предназначены для упрощения процесса обнаружения и проверки уязвимостей.
Основные возможности
- Подкоманды:
scan(URL / файл / пайп / raw-HTTP, автоопределение),server,payload,mcp - Обнаружение: анализ параметров, статический анализ, тестирование BAV, поиск параметров
- Сканирование XSS: Отражённые, Хранимые (SXSS), DOM-управляемые, с оптимизацией и проверкой DOM/AST
- WAF: Фингерпринтинг с оценкой уверенности, отслеживание обходов, настраиваемый
--waf-min-confidence - HTTP-опции: кастомные заголовки, cookies, методы, прокси и другое
- Вывод: форматы JSON/JSONL/Plain/Markdown/SARIF/TOML, тихий режим, детализированные отчёты
- Расширяемость: REST API, MCP stdio сервер, пользовательские полезные нагрузки, удалённые списки слов
И различные опции, необходимые для тестирования :D
Установка
Homebrew (macOS/Linux)
brew install dalfox
# https://formulae.brew.sh/formula/dalfox
Snapcraft (Ubuntu)
sudo snap install dalfox
Arch Linux (AUR)
yay -S dalfox
# or
paru -S dalfox
Смотрите руководство по установке для инструкций по ручной сборке.
Nixpkgs (NixOS)
Пакет доступен для пользователей Nix или NixOS. Имейте в виду, что самые последние релизы могут присутствовать только в канале unstable.
nix-shell -p dalfox
Nix Flakes
Для пользователей Nix с включёнными flakes:
# Run directly
nix run github:hahwul/dalfox -- scan https://example.com
# Install
nix profile install github:hahwul/dalfox
# Development environment
nix develop github:hahwul/dalfox
Подробности смотрите в руководстве по установке.
Готовые бинарные файлы (включая статически скомпонованные варианты musl для Linux) доступны на странице GitHub Releases.
Использование
dalfox [mode] [target] [flags]
- Одиночный URL:
dalfox scan http://example.com -b https://callback - Файловый режим:
dalfox scan urls.txt --custom-payload mypayloads.txt - Пайп:
cat urls.txt | dalfox scan --headers "AuthToken: xxx"
Для получения дополнительных примеров ознакомьтесь с документами CLI reference и Quick start.
Участие в проекте
Если вы хотите внести свой вклад в этот проект, пожалуйста, ознакомьтесь с CONTRIBUTING.md и создайте Pull-Request со своим интересным содержимым.
О названии
Название происходит от слова «Dal» (달) 🌙 — корейского слова «луна», в сочетании с «Fox» 🦊 (лис).
