开源工具通过集成令牌和有效载荷创建来帮助识别和利用OOB漏洞
mole是一个新的开源框架，用于识别和利用带外应用程序（OOB）应用程序漏洞，于黑帽2020本星期。
由总部位于丹佛的进攻安全公司拉雷斯（Lares）的负责人扎克·格雷斯（Zach Grace）开发的，Mole从Burp Suite的合作者XSS Hunter和Handy Consarborator等工具中汲取了灵感。
格蕾丝告诉格蕾丝说：“当应用程序或服务器处理有效载荷时，就会发生OOB漏洞，但没有立即返回测试仪的迹象。”每日swbeplay2018官网ig在他的前面介绍昨天在虚拟黑帽安全会议上。
“成功识别这些的唯一方法漏洞是为了与测试人员控制的基础架构（例如DNS或HTTP服务器）进行交互。
“ mole通过集成令牌和有效载荷创建并提供服务器组件来监视交互作用来帮助识别和利用这些OOB漏洞。”
扎克·格雷斯（Zach Grace）在虚拟黑色帽子2020安全会议上介绍了痣
流线测试
摩尔由两个主要组件组成：客户端和服务器。
格蕾丝解释说：“客户在手动测试期间用于创建有效载荷。”“它会自动将令牌注入预定义有效载荷中，以便它们可以使用。
“服务器提供了DNS和Webbeplay体育能用吗服务器可将所有与有效载荷令牌的交互记录。”
mole功能可配置的跟踪令牌大小，通过标签的代币上下文以及自定义通知频道，包括电子邮件，Slack和Webhook。beplay体育能用吗
Grace说：“这些功能简化了OOB漏洞的测试，并在监视任何OOB交互作用方面增加了灵活性。”
“此外，还提供了BURP套件扩展名，以使用Burp Suite将摩尔有效载荷注入您的测试中。”
选择有效载荷
mole将监视和有效载荷生成从测试工具中分解，从而允许对OOB相互作用进行24x7监视。
该工具支持所有受支持的有效负载类型的DNS和HTTP/HTTPS交互的跟踪XSS，，，，xxe，PDF和OOXML。
格雷斯说：“这些有效载荷可以生成并保存到目录中进行手动测试，并通过Mole的Burp Suite扩展程序动态插入请求，也可以通过API检索到自定义集成。”
他补充说：“计划在接下来的几个月内进行其他增强功能，包括其他有效载荷类型和服务器。”
前往mole github仓库有关完整的详细信息。
