Ppmap es una herramienta de exploración / explotación simple escrita en GO que explota automáticamente los dispositivos conocidos y existentes (verifica ciertas variables en el contexto global) para ejecutar XSS sobre la contaminación del prototipo. NOTA: El programa solo explota gadgets conocidos, pero no cubre el análisis de código ni la explotación avanzada de Prototype Pollution, que puede incluir gadgets personalizados.
requisitos
Asegúrate de que Chromium / Chrome esté instalado:
sudo sh -c ‘echo «deb http://dl.google.com/linux/chrome/deb/ stable main» >> /etc/apt/sources.list.d/google.list’
wget -q -O – https://dl-ssl.google.com/linux/linux_signing_key.pub | sudo agregar apt-key –
sudo apt-get update
sudo apt-get install google-chrome-stable
Asegúrese de que chromedp esté instalado:
ve y consigue -u github.com/chromedp/chromedp
instalación
- Automáticamente
- Descarga el binario ya compilado aquí
- Dale permiso para correr
chmod +x ppmap
- Manualmente (compílelo usted mismo)
- Clona el proyecto:
git clone https://github.com/kleiton0x00/ppmap.git - Cambie el directorio a la carpeta ppmap:
cd ~/ppmap - Construye el binario
go build ppmap.go
- Clona el proyecto:
Uso
Usar el programa es muy simple, puede:
- escanear un directorio / archivo (o incluso solo el sitio web):
echo 'https://target.com/index.html' | ./ppmap - o punto final:
echo 'http://target.com/something/?page=home' | ./ppmap
Para escaneo masivo:cat url.txt | ./ppmap Donde url.txt contiene todas las URL de la columna.
manifestación
No dude en probar la herramienta como parte de una demostración en los siguientes sitios web:
https://msrkp.github.io/pp/2.html
https://ctf.nikitastupin.com/pp/known.html
