XSS-Freak là một công cụ được viết hoàn toàn bằng Python3 để thực hiện việc quét lỗ hổng XSS trên mạng. Công cụ này quét XSS nhằm thu thập dữ liệu toàn bộ trang web và quét tất cả các thư mục, liên kết có thể để mở rộng phạm vi tấn công của nó. Sau đó, nó kích hoạt tính năng tìm kiếm để lấy thông tin về các thẻ input. Tiếp theo, nó sẽ bắt đầu gửi request có kèm XSS. Nếu trang web có đầu vào (input) dễ bị khai thác và không an toàn trước các cuộc tấn công XSS, XSS-Freak sẽ phát hiện nó trong vòng vài giây.
Vậy XSS là gì?
XSS còn được gọi là cross-site scripting, được biết tới như một loại lỗ hổng được tìm thấy trong các ứng dụng web. Với sự trợ giúp của XSS, những kẻ tấn công có thể tiêm các tập lệnh độc hại vào các trang web (có vẻ) đáng tin cậy.
Cross-site Scripting (XSS) là một trong những kỹ thuật hack phổ biến nhất khi nói đến các lỗ hổng trên web. Lỗi này xảy ra khi một trang web tạo đầu ra dựa trên đầu vào của người dùng. Nếu trang web lấy dữ liệu từ input mà không có xác nhận và mã hóa phù hợp, chắc chắn nó sẽ bị tận dụng bởi hacker.
XSS cho phép tin tặc chạy các lệnh JavaScript độc hại trong trình duyệt của nạn nhân, có thể chiếm quyền phiên người dùng, chuyển hướng người dùng đến các trang web không mấy thân thiện cho lắm, phát tán phần mềm độc hại, tạo request sai, lấy thông tin người dùng và dữ liệu nhạy cảm như: thông tin đăng nhập, mật khẩu, thẻ tín dụng, ảnh nude,…..
Lỗi bảo mật trong các ứng dụng web cho phép các cuộc tấn công này xảy ra rất thường xuyên. Những sai sót này khá phổ biến và xảy ra trong các ứng dụng web yêu cầu người dùng nhập dữ liệu.
Để tìm hiểu thêm về Cross-site Scripting (XSS) và các loại khác của nó, hãy xem Giải thích chi tiết Cross-site Scripting (XSS).
Tính năng:
– Gửi Payloads XSS
– Được viết hoàn toàn bằng python3
Hệ điều hành hỗ trợ:
- Linux
Yêu cầu:
– Kết nối internet tốc độ cao
– PC có khả năng xử lý đồng thời một lượng lớn luồng dữ liệu
XSS-Freak hoạt động như thế nào
Để thực hiện một cuộc tấn công, cần phải có mục tiêu (web victim) và một danh sách chứa các payloads XSS khác nhau. Bây giờ, công cụ sẽ bắt đầu quét các trang web chính bao gồm các trang được lập chỉ mục để tìm các thư mục và liên kết có thể có trong trang web. Sau đó, nó sẽ quét tất cả các thư mục được tìm thấy trong lần quét ban đầu và đưa chúng vào phạm vi tấn công. Hơn nữa, nó sẽ quét tất cả các liên kết được tìm thấy trong cả 2 lần quét.
Sau đó, XSS-Freak sẽ thêm tất cả các thẻ input HTML vào phạm vi tấn công. Nó sẽ bắt đầu cuộc tấn công vào cả thẻ input HTML bằng cách sử dụng Payloads XSS. Nếu thẻ input trên web không được xử lý đúng cách, công cụ này sẽ phát hiện các lỗ hổng đó ngay.
Ưu điểm:
– Do sử dụng đa luồng nên xử lý nhanh và hiệu quả
– Có khả năng thu thập dữ liệu trên các web hoàn chỉnh
Nhược điểm:
– Không hỗ trợ trên điện thoại
– Phải có tốc độ kết nối Internet cao
– Yêu cầu phần cứng tốt
Cài đặt XSS-Freak
Các bạn chạy các lệnh sau:
git clone https://github.com/sepulvedazallalinux/XSS-Freak.git
cd XSS-Freak/
pip3 install -r requirements.txt
python3 XSS-Freak.py
Cách sử dụng
Mũi tên thứ nhất là nơi các bạn nhập link web muốn attacks xss vào.
Mũi tên thứ hai, các bạn nhập tên file chứa payloads xss. Lưu ý, file này phải nằm cùng thư mục với tool.
Qúa trình xử lý còn tùy thuộc vào CPU và đường truyền mạng của bạn.
Chúc bạn thành công!
