EmbedInHTML

HTML에 모든 파일을 임베드하고 숨기기 저자: Arno0x0x - @Arno0x0x 이 도구는 파일모든 유형의 파일을 가져와 암호화한 후, 리소스로 HTML 파일에 임베드하고, 임베드된 리소스를 사용자가 클릭하는 것을 시뮬레이션하는 자동 다운로드 루틴을 함께 제공합니다. 그런 다음 사용자가 HTML 파일을 탐색하면 임베드된 파일이 즉시 복호화되어 임시 폴더에 저장되며, 마치 원격 사이트에서 다운로드되는 것처럼 사용자에게 제공됩니다. 사용자의 브라우저와 표시된 파일 유형에 따라 파일이 브라우저에 의해 자동으로 열릴 수 있습니다...

CVE-2021-30573

CVE 2021-30573 Google Chrome 취약점 CVE-2021-30573 Google Chrome의 GPU에서 use-after-free 취약점으로 인해 원격 공격자가 조작된 HTML 페이지를 통해 힙 손상을 악용할 수 있었습니다. CVE-2021-30573 세부정보 취약한 버전: 이 버그는 Google Chrome 91 이하 버전에서 작동합니다. 92+ 92.0.4515.107에서 패치되었습니다. 사용 방법: 오래된 Chrome에서 exploit.html을 실행하기만 하면 됩니다. 참고 자료...

HtmlSmuggling

HtmlSmuggling HTML 스머글링은 해커가 특수하게 조작된 HTML 첨부 파일이나 웹 페이지에 인코딩된 스크립트로 악성 페이로드를 숨기기 위해 사용하는 악의적인 기술입니다. 피해자가 HTML 첨부 파일/링크를 열거나 클릭하면 악성 스크립트가 페이로드를 디코딩하여 대상 장치에 배포합니다. HTML 스머글링 기술은 합법적인 HTML5 및 JavaScript 기능을 활용하여 악성 페이로드를 숨기고 보안 탐지를 우회합니다. HTML 스머글링 방법은 회피성이 매우 높습니다. 웹 프록시나 이메일 게이트웨이와 같은 표준 경계 보안...

PasteJacker

PasteJacker 이 도구의 주요 목적은 PasteJacking/Clipboard poisoning/뭐라고 부르든 공격을 자동화하고, 이 공격에 사용되는 모든 알려진 트릭을 한 곳에 모아 하나의 자동화 작업으로 처리하는 것입니다. 검색해보니 이 작업을 제대로 수행하는 도구가 없었기 때문입니다 😄 이제 이 공격은 사용자가 무엇을 붙여넣을지에 달려 있기 때문에, Metasploit의 web-delivery 모듈 아이디어를 도구에 구현했습니다. 사용자가 터미널에 붙여넣으면 상대방 기기에서 meterpreter 세션을 얻을 수...

HTMLSmuggler

HTMLSmuggler ✉️ HTMLSmuggler - HTML 스머글링을 통한 IDS 우회 및 페이로드 전송을 위한 JS 페이로드 생성기. 설명 HTML 스머글링이 무엇인지에 대한 전체 설명은 여기에서 찾을 수 있습니다. HTML 스머글링의 주요 목표는 실행 파일/아카이브 등과 같은 악성 페이로드를 겉보기에는 무해한 HTML 및 JavaScript 코드 내에 숨겨 방화벽 및 침입 탐지 시스템과 같은 네트워크 보안 제어를 우회하는 것입니다. 웹 애플리케이션의 동적 특성을 악용함으로써 공격자는 보안 경고를 트리거하거나 기존 보안...

dcrawl

dcrawl dcrawl is a simple, but smart, multi-threaded web crawler for randomly gathering huge lists of unique domain names. How it works? dcrawl takes one site URL as input and detects all links in the site's body. Each found link is put into the queue. Successively, each queued link is crawled in...

evildork

evildork👁️ 특정 도메인 하나만 또는 사용 가능한 모든 서브도메인을 대상으로 dork 수행 일반 대상주로 사람을 대상으로 dork 수행 모든 dork 링크를 포함한 html 출력 결과 페이지 생성 Google은 여러 번 시도 후 봇 여부를 확인하기 위해 캡차를 추가할 수 있음에 유의하세요. 설치 📥 git clone https://github.com/Fricciolosa-Red-Team/evildork.git cd evildork python3 evildork.py 사용법 🚀 root@kitploit: usage:...

nahsra__antisamy_CVE-2022-29577_1-6-6-1

AntiSamy 신뢰할 수 없는 출처에서 오는 HTML을 빠르고 설정 가능하게 정리하는 라이브러리입니다. Java 7+를 지원합니다. 다른 방식으로 말하자면: 클라이언트가 프로필, 댓글 등에 제공하는 HTML에 악성 코드를 포함하지 않도록 하고, 이것이 서버에 저장되는 것을 방지하는 API입니다. 웹 애플리케이션에서 '악성 코드'라는 용어는 일반적으로 'JavaScript'를 의미합니다. 대부분의 경우, CSSCascading Stylesheets는 JavaScript를 호출할 때만 악성으로 간주됩니다. 그러나 '정상적인'...

nahsra__antisamy_CVE-2017-14735_1-5-6

AntiSamy 신뢰할 수 없는 소스에서 들어오는 HTML을 빠르고 설정 가능하게 정리하는 라이브러리입니다. Java 8 이상을 지원합니다. 다른 말로 표현하자면: 클라이언트가 프로필, 댓글 등에 제공하는 HTML에 악성 코드를 포함하지 않도록 서버에 저장되기 전에 검증하는 API입니다. 웹 애플리케이션에서 '악성 코드'는 일반적으로 'JavaScript'를 의미합니다. 대부분의 경우, CSSCascading Stylesheets는 JavaScript를 호출할 때만 악성으로 간주됩니다. 하지만 '정상적인' HTML과 CSS도...

tryhackme-moniker-link

tryhackme-moniker-link TryHackMe에서 완료한 Moniker Link CVE-2024-21413 실습 랩에 대한 문서입니다. Moniker Link CVE-2024-21413 — TryHackMe 랩 개요 이 저장소는 TryHackMe 룸에서 수행한 직접 실습 내용을 문서화합니다. 이 실습의 목표는 취약점이 어떻게 동작하는지 이해하고, 의도적으로 취약하게 구성된 머신을 대상으로 테스트하는 것이었습니다. 참고: 이 랩에서 사용된 원본 개념 증명PoC은 TryHackMe 학습 자료의 일부로 제공되었으며,...

XSScope

경고를 넘어서 XSScope는 XSS 클라이언트 측 공격을 위한 가장 고급 GUI 프레임워크 중 하나입니다. 실시간으로 다양한 XSS 공격과 HTML 삽입을 수행할 수 있습니다. 기능 XSS 봇넷 공격을 수행합니다. XSS 페이로드의 영향을 받은 모든 피해자웹서버 내는 지속적으로 페이로드를 바인딩하고 공격자의 명령을 기다립니다. 바인드 페이로드는 컨트롤러로부터 연결을 기다리는 페이로드입니다. XSS 봇넷을 통한 HTTP 플러드DDos TCP 포트 포워딩 및 로컬 PHP 서버를 생성합니다. 버그 헌팅을 위한 자동 페이로드 생성기...

CVE-2023-39144

CVE-2023-39144 배경 이 취약점은 2023년 5월에 발견되었습니다. Element55는 법률 사무소가 시간을 추적할 수 있는 소프트웨어를 생산합니다. 이 소프트웨어는 Exchange, SQL, Shoretel과 같은 다양한 위치에서 정보를 가져옵니다. 타임라인 2023년 5월 24일 - Element 55에 취약점 보고 2023년 5월 25일 - Element55가 취약점을 확인하고 버전 22의 일부로 수정하겠다고 밝혔습니다. 그들은 전문적이었고 함께 일하기 좋았습니다 2023년 7월 24일 - Element 55와...

Yordam-Kutuphane-Otomasyonunda-Coklu-HTML-Enjeksiyonu

Múltiple Inyección de HTML en Yordam-Kütüphane-Otomasyonunda CVE-2026-77818 · CVSS 3.1 6.1 Media · Presidencia de Ciberseguridad · Publicado 2026-09-04 · TR-26-1011 Estado: Las vulnerabilidades se han corregido en la versión v22.2. Las instalaciones afectadas deben actualizarse a v22.2 o superior...

CVE-2025-51591-Pandoc-SSRF-POC

CVE-2025-51591 Pandoc SSRF POC JGM Pandoc v3.6.4의 SSRFServer-Side Request Forgery, 서버 측 요청 위조 취약점으로 인해 공격자는 조작된 iframe을 주입하여 전체 인프라에 대한 접근 권한을 획득하고 이를 손상시킬 수 있습니다. Pandoc 설치 https://pandoc.org/installing.html Payload 예시 ⚠️ iframe URL을 자신의 OAST URL로 교체하세요. ⚠️ root@kitploit: CVE-2025-51591 Proof Of...

CSRFER

CSRFER root@kitploit: / / | \ | | \ | / /\ --.| |/ / | | | | |/ / | | --. \ /| | | || / | /// / |\ | | | || |\ \ //| \| /| | -.--. " '-, ',' 2 \ \q \ . \ .--' '----. / . . \ .'.' \ .-.\ '-, ,/ .---;- . \ \ .\ // '-. \ \ | '. , '-. c=' Cooo -. '-. '. '-. \ snd '-. '. '-. \ ---'...

CVE-2024-54160-Opensearch-HTML-And-Injection-Stored-XSS

CVE-2024-54160-Opensearch-HTML-삽입 + 저장형 XSS Opensearch의 'reports' 플러그인이 버전 2.18.0에서 HTML-삽입에 취약한 것으로 발견되었습니다. 보고서 기능을 사용하면 사용자가 새 보고서 정의를 생성하는 동안 헤더와 푸터에 HTML을 저장할 수 있었습니다. 아래는 헤더 기능에 iframe을 저장하여 로컬 머신에서 JavaScript 키로거를 가져와 사용자가 입력한 키를 기록하는 빠른 개념 증명PoC입니다. PoC 1. keylogger.html 파일을 편집하고 python3...

otseca

Open source security auditing tool to search and dump system configuration. Introduction | Description | Requirements | Output | Parameters | Reports | How it works | Other Introduction...

CVE-2022-42094

Backdrop CMS 버전 1.23.0 취약점 설명: Backdrop CMS 버전 1.23.0에서 Card 콘텐츠를 통해 저장형 XSSCross-Site Scripting 취약점이 발견되었습니다. 공격 벡터: 공격자는 '카드 콘텐츠'에 무언가를 게시하고 '본문' 입력란에 XSS 페이로드를 삽입한 후 Raw HTML 편집기를 선택하여 저장형 XSS를 악용해야 합니다. XSS 페이로드는 저장 직후 실행됩니다. 영향을 받는 부분: http://ipaddress/backdrop/node/add/card POST...

jsfinder

기능 | 설치 | 사용법 | 데모 | 할 일| 연락처 jsFinder는 Go로 작성된 명령줄 도구로, 웹 페이지를 스캔하여 HTML 소스 코드에 링크된 JavaScript 파일을 찾습니다. JavaScript 파일을 포함할 수 있는 모든 속성예: src, href, data-main 등을 검색하고 파일의 URL을 텍스트 파일로 추출합니다. 이 도구는 사용하기 간단하게 설계되었으며, 파일에서 URL을 읽거나 표준 입력에서 읽는 것을 지원합니다. jsFinder는 웹 애플리케이션에서 사용되는 JavaScript 파일을 찾고 분석하...

CVE-2026-79294

CVE-2026-79294 CVE-2026-79294 — Moonshot AI KimiのHTMLアーティファクトプレビューにおけるStored XSS。公開Shareビューを通じて配信され、セッショントークンの窃取と、実証されたアカウント乗っ取りにつながる。責任ある開示アドバイザリ。 CVE-2026-79294 Moonshot AI KimiのHTMLアーティファクトプレビューにおけるStored XSS。公開 Shareビューを通じて到達可能で、セッショントークンの窃取とアカウント乗っ取りにつながる。 影響範囲...