معرفی ابزار OWASP Xenotix XSS Exploit Framework (اسکنر باگ Xss)

[vortex team 1,001]

OWASP Xenotix XSS Exploit Framework

 

 

قبل از معرفی ابزار یه توضیح کوتاه درباره باگ XSS میدم :

اسیب پذیری های Cross Site Scripting یا XSS از که در سال 1990 گزارش داده شده است در سال 2010 در لیست درجه بندی اسیب پذیری ها در سایت OWASP مقام دوم را گرفت .

Cross Site Scripting یا XSS نوعی از اسیب پذیری است که معمولا در برنامه های تحت وب رخ میدهد که به فرد نفوذگر اجازه میدهد کد های سمت کاربر را در صفحه وبسایت که توسط دیگر کاربران مشاهده میشود تزریق کند . کد های تزریق شده در اجرا سمت کاربر قرار میگیرند .فرد نفوذگر میتواند از یک اسیب پذیری Cross Site Scripting در جهت دور زدن SOP یا Same Origin Policy مورد استفاده قرار گیرد . در گذشته پتانسیل اسیب پذیری XSS بالا نبود و از ان استفاده کمی میشد . از XSS در اصل برای سرقت کوکی های کاربر و به صورت موقتی و دائمی توسط دیفیسر ها برای دیفیس سایت ها استفاده میشد و در بین اسیب پذیری های پر خطر قرار نداشت . اما بعدن با پدید امدن روش های XSS Tunneling و Payload Delivering پتانسیل واقعی این اسیب پذیری در معرض دید توسعه دهندگان تحت وب قرار گرفت بسیاری از کمپانی های بزرگ مانند ، Google ، Facebook ، Amazon ، Microsoft در معرض این اسیب پذیری قرار گرفتند و ممکن است هنوز هم از این اسیب پذیری ها رنج ببرند .

تهدید های XSS :

• XSS Tunneling : با استفاده از XSS Tunnel روش فرد نفوذگر میتواند ترافیک میان کلاینت و وب سرور را در دست بگیرد
• Client side code injection : با استفاده از این روش فرد نفوذگر کد های مخربی را بر روی مروگر کاربر تزریق و اجرا کند
• DOS : فرد نفوذگر میتواند موجب حملات داس بر روی سرور دیگر یا بر روی خود قربانی گردد
• Cookie Stealing : فرد نفوذگر میتواند کوکی های قربانی را به سرقت ببرد .
• Malware Spreading : فرد نفوذگر میتواند با استفاده XSS تروجان خود را در سطح اینترنت پخش کند
• Defacement : Xss میتواند موجب دیفیس موقت یا دائمی یک وب سایت شود .
• Phishing : از XSS میتوان در جهت به سرقت بردن اطلاعات کاربر یا حملات فیشینگ استفاده کرد .

 

Xenotix XSS Exploit Framework چیست؟

Xenotix XSS Framework ابزاری برای تست نفوذ هست که از اون جهت یافتن آسیب پذیری های XSS و سوء استفاده از اونها استفاده کرد. این ابزار میتونه به صفحه هایی که آسیب پذیر هستن کد تزریق کنه. این ابزار بر پایه یک لیست از بیش 4000 کد برای تست اسیب پذیری XSS میباشد و به ما این امکان رو میده تا براحتی تمامی کد های داخل لیست رو بر روی صفحه وب پیاده سازی کنیم و این ابزار 2 حالت خودکار و دستی رو پشتیبانی میکنه و دارای 3 موتور Gecko / Trident / Webkit هست. این ابزار شامل XSS Encoder ، کیلاگر سمت کاربر ،XSS دانلودر هم هست. آموزش ها از قسمت بعد به صورت ویدیویی ارائه خواهد شد.

 

امکانات (Features) :

 

 SCANNER MODULES

• GET Request Fuzzer
• POST Request Fuzzer
• Advanced Request Fuzzer
• OAuth 1.0a Request Scanner
• DOM Scanner

1. DOM XSS Analyzer
2. Local DOM XSS Analyzer

• Hidden Parameter Detector

 

INFORMATION GATHERING MODULES

• WAF Fingerprinting
• Victim Fingerprinting

1. IP to Location
2. IP to GeoLocation

• Network

1. Network IP (WebRTC)
2. Ping Scan
3. Port Scan
4. Internal Network Scan

• Browser

1. Fingerprinting
2. Features Detector
3. HSTS+ CSP Visited Sites Grabber

 

EXPLOITATION MODULES

• Send Message
• Cookie Thief
• Keylogger
• HTML5 DDoSer
• Load File
• Grab Page Screenshot
• JavaScript Shell
• Reverse HTTP WebShell
• Metasploit Browser Exploit
• Social Engineering

1. Phisher
2. Tabnabbing
3. Live WebCam Screenshot
4. Download Spoofer
5. Geolocation HTML5 API
6. Java Applet Drive-By (Windows)
7. Java Applet Drive-By Reverse Shell (Windows)
8. HTA Network Configuration (Windows, IE)
9. HTA Drive-By (Windows, IE)
10. HTA Drive-By Reverse Shell (Windows, IE)

• Firefox Addons

1. Reverse TCP Shell Addon (Windows, Persistent)
2. Reverse TCP Shell Addon (Linux, Persistent)
3. Session Stealer Addon (Persistent)
4. Keylogger Addon (Persistent)
5. DDoSer Addon (Persistent)
6. Linux Credential File Stealer Addon (Persistent)
7. Drop and Execute Addon (Persistent)

 

AUXILIARY MODULES

• WebKit Developer Tools
• Encoder/Decoder
• JavaScript Encoders

1. JSFuck 6 Char Encoder
2. jjencode Encoder
3. aaencode Encoder

• JavaScript Beautifier
• Hash Calculator
• Hash Detector
• View Injected JavaScript
• View XSS Payloads

 

XENOTIX SCRIPTING ENGINE

• Xenotix API
• IronPython Scripting Support
• Trident and Gecko Web Engine Support

 

ما قسمت Scanner رو توضیح میدم که خیلی کاربردی هست:

 

Get Request Fuzzer : تست تمامی لیست بر روی سایت با استفاده از متود GET 

برای مثال : طبق عکس برنامه میاد و هر 5 ثانیه یک بار به ترتیب کد های جاوااسکریپت رو در لیست به جای پارامتر [X] قرار میدهد .

Post Request Fuzzer : در این قسمت برنامه تمامی لیست را با استفاده از متود POST به برنامه میفرستد :

در این روش شما از روش POST به برنامه تحت وب جهت پیدا کردن اسیب پذیری XSS امتحان میکنید . همانطور که در عکس میبینید POST Request Header , Post Response Header و Post Response Body به ما نمایش داده میشه .

FingerPrinting : با استفاده از این بخش ما میتوانیم اطلاعات زیادی در باره قربانی اعم از :

• WAF Fingerprinting : با استفاده از این ویژگی ما میتوانیم نوع فایروال قربانی را مشخط کنیم .
• Victim Fingerprinting : با استفاده از این ویژگی میتوانید محل قربانی و کشور قربانی را مشخص کنید .

 

قسمت XSS Exploitation که به معنی سوءاستفاده از XSS میباشد که دارای بخش های زیر میباشد :

Send Message : در این قابلیت Xenotix ما میتونیم با استفاده از 3 تابع ، alert() ، confirm()و prompt() به قربانی پیامی ارسال میکند که در صورت استفاده از alert() پیام به صورت اخطار در صورت استفاده از confirm() پیام به صورت درخواست اجازه و در صورت استفاده از prompt() به صورت کادری برای گرفتن ورودی از قربانی به نمایش در میاید .

Cookie Thief : با استفاده از این قابلیت Xenotix میتوانیم کوکی هایی در مرورگر قربانی قرار دارند را به راحتی به سرقت ببریم .

Load File : با استفاده از این قابلیت ما میتونیم فایل هایی با فرمت های MP4 ، MP3 ، WAV ، PDF و ….. را به زور برای دانلود به قربانی بفرستیم با زدن Generate Code کدی برای فرستادن فایل به کاربر ایجاد میشود و با زدن اینجکت به صورت مکرر اخطار برای دانلود به قربانی فرستاده میشود و تا زمانی که نفوذگر نخواهد قطع نمیشود .

DDos : با استفاده از این قابلیت ما میتوانیم اقدام به حملات تکذیب سرویس بر روی یک سایت کنیم .

 

Keylogger : با استفاده از این قابلیت ما میتوانیم تمامی کلید هایی که فشرده میشوند ثبت و برای شما ارسال میشوند .

Grab Screen Shot : همانطور که از نامش معلوم است از صفحه ی مرورگر عکس میندازد . بله نمیتوان از دسکتاپ قربانی به طور کامل عکس گرفت تنها و تنها صفحه ای که مرورگر در ان قرار دارد معلوم میشود .

JavaScript Shell : با استفاده از این قابلیت ما میتوانیم به راحتی کد های جاوا اسکریپت خود را به قربانی ارسال کنیم با زدن append تمامی کد هایی ما در ورودی وارد کردیم به قربانی ارسال میشود در مثال زیر من یک تابع prompt() ارسال میکنم.

و بسیاری قابلیت های دیگر که شما میتوانید از آنها در سوءاستفاده از XSS استفاده کنید. Xenotix دارای Scripting Engine یا موتور اسکریپتینگ میباشد که با استفاده از آن شما میتوانید اسکریپت های اختصاصی خود را به زبان جاوااسکریپت بنویسید و بر روی قربانی اجرا کنید .

 

 

دانلود ابزار Xenotix XSS Exploit Framework

Please login or register to see this link.