xsscrapy

Быстрый, тщательный蜘蛛 для поиска XSS/SQLi уязвимостей. Укажите ему URL, и он проверит каждую найденную ссылку на наличие уязвимостей межсайтового скриптинга и некоторых SQL-инъекций. Дополнительную информацию о обнаружении SQL-инъекций см. в разделе «Часто задаваемые вопросы».

Из основной папки выполните:

./xsscrapy.py -u http://example.com

Если вы хотите выполнить вход, а затем начать обход:

./xsscrapy.py -u http://example.com/login_page -l loginname

Если вы хотите выполнить вход с использованием HTTP Basic Auth, а затем начать обход:

./xsscrapy.py -u http://example.com/login_page -l loginname --basic

Если вы хотите использовать cookies:

./xsscrapy.py -u http://example.com/login_page --cookie "SessionID=abcdef1234567890"

Если вы хотите ограничить количество одновременных соединений до 20:

./xsscrapy.py -u http://example.com -c 20

Если вы хотите установить ограничение скорости — 60 запросов в минуту:

./xsscrapy.py -u http://example.com/ -r 60

Уязвимости XSS сообщаются в файле xsscrapy-vulns.txt

Зависимости

wget -O -u https://bootstrap.pypa.io/get-pip.py
python get-pip.py
pip install -r requirements.txt

В зависимости от операционной системы могут потребоваться дополнительные библиотеки. libxml2 libxslt zlib libffi openssl (иногда libssl-dev)

Тесты

• Cookies
• User-Agent
• Referer
• Переменные URL
• Конец URL
• Путь URL
• Формы — как скрытые, так и явные

Часто задаваемые вопросы

• Если появляется ошибка: ImportError: cannot import name LinkExtractor. Это означает, что у вас установлена не последняя версия scrapy. Вы можете установить её с помощью команды: sudo pip install --upgrade scrapy.
• Почему он называется XSScrapy, но при этом обнаруживает и SQL-инъекции? Существует пересечение между опасными символами XSS и опасными символами SQL-инъекций, а именно одинарные и двойные кавычки. Обнаружение ошибок SQL-инъекций в ответе также достаточно простое и не требует много ресурсов процессора. Поэтому, хотя 99% этого скрипта ориентированы на высокоточное обнаружение XSS, добавление простого обнаружения SQL-инъекций посредством поиска сообщений об ошибках является простым и эффективным дополнением. Этот скрипт не тестирует слепые SQL-инъекции. Искомые сообщения об ошибках берутся напрямую из плагина аудита sqli из w3af.

Лицензия

Copyright (c) 2014, Dan McInerney All rights reserved.

Redistribution and use in source and binary forms, with or without modification, are permitted provided that the following conditions are met: * Redistributions of source code must retain the above copyright notice, this list of conditions and the following disclaimer. * Redistributions in binary form must reproduce the above copyright notice, this list of conditions and the following disclaimer in the documentation and/or other materials provided with the distribution. * Neither the name of Dan McInerney nor the names of its contributors may be used to endorse or promote products derived from this software without specific prior written permission.

THIS SOFTWARE IS PROVIDED BY THE COPYRIGHT HOLDERS AND CONTRIBUTORS "AS IS" AND ANY EXPRESS OR IMPLIED WARRANTIES, INCLUDING, BUT NOT LIMITED TO, THE IMPLIED WARRANTIES OF MERCHANTABILITY AND FITNESS FOR A PARTICULAR PURPOSE ARE DISCLAIMED. IN NO EVENT SHALL BE LIABLE FOR ANY DIRECT, INDIRECT, INCIDENTAL, SPECIAL, EXEMPLARY, OR CONSEQUENTIAL DAMAGES (INCLUDING, BUT NOT LIMITED TO, PROCUREMENT OF SUBSTITUTE GOODS OR SERVICES; LOSS OF USE, DATA, OR PROFITS; OR BUSINESS INTERRUPTION) HOWEVER CAUSED AND ON ANY THEORY OF LIABILITY, WHETHER IN CONTRACT, STRICT LIABILITY, OR TORT (INCLUDING NEGLIGENCE OR OTHERWISE) ARISING IN ANY WAY OUT OF THE USE OF THIS SOFTWARE, EVEN IF ADVISED OF THE POSSIBILITY OF SUCH DAMAGE.