Modules pour le navigateur Firefox
  • Extensions
  • ThĂšmes
    • pour Firefox
    • Dictionnaires et paquetages linguistiques
    • Sites pour les autres navigateurs
    • Modules pour Android
Connexion
Aperçu de Eval Villain

Eval Villain par bemodtwz

Hook native JavaScript functions before page load to see how a website uses them. Narrow down output based on the appearance of URL and session artifacts, user configured strings/regex, blacklists and more.

3.7 (3 reviews)3.7 (3 reviews)
232 utilisateurs·trices232 utilisateurs·trices
Vous avez besoin de Firefox pour utiliser cette extension
TĂ©lĂ©charger Firefox et obtenir l’extension
Télécharger le fichier

MĂ©tadonnĂ©es de l’extension

Captures d’écran
Eval Villain discovers a DOM XSS vector, despite multiple layers of encoding on the x URL parameter. An encoder function is provided to encode your own payloads.The provided encoder function is pasted into the console. Then it's used to encode a new payload. Eval Villain shows the new payload hitting the sink and executing.
À propos de cette extension
Eval Villain hooks JavaScript sinks and monitors input for the presence of strings found in sources. There is no race condition as Eval Villain will hook sinks before they can be used. Sinks will be hooked in all frames and pages unless a target URL pattern is configured.

The default configuration will hook common DOM XSS sinks but Eval Villain can be configured to hook any function. Go to the configuration page and click the icon -> configure to see examples.

When a sink is called, Eval Villain goes through a list of sources and tests input to that function for any occurrence of the sources. Sources include user defined strings or regex (referred to as needles), URL parameters, URL fragments (aka hash), local storage, window name and the user cookie. There is also a blacklist feature to remove commonly occurring false positives. Each of these features can be individually enabled or disabled in the popup menu. When changes are made, the page will need to be refreshed for changes to take effect.

These features make Eval Villain well suited to find DOM XSS, but also to answer other questions about how a web page is functioning. Hooking eval() and dumping input can bypass common obfuscation techniques and even find malware. Hooking decodeURI() with the URL parameter source enabled will give a stack trace that often contains the website's URL parser. Instrumenting the parser can then expose hidden URL parameters. Hooking addEventListener() with the needle "message" will dump the source code and location of post message handlers. Eval Villain allows a lot of configuration options to allow for creative solutions.

Eval Villain will also attempt to recursively decode sources. For example, ad networks often build iframes with encoded HTML hidden in the window name. Eval Villain can detect this behavior and provide both the sink where the HTML lands and an encoder function to encode arbitrary HTML into the frame.

Support for this version provided by Doyensec Research https://doyensec.com/research.html
Noté 3,7 par 3 personnes
Connectez-vous pour noter cette extension
Il n’y a aucune note pour l’instant

Le nombre d’étoiles est enregistrĂ©

5
2
4
0
3
0
2
0
1
1
Lire les 3 critiques
Autorisations et donnéesEn savoir plus

Autorisations nécessaires :

  • AccĂ©der Ă  vos donnĂ©es pour tous les sites web
Plus d’informations
Liens du module
  • Page d’accueil
  • E-mail d’assistance
Version
2.11
Taille
53,89 Ko
DerniĂšre mise Ă  jour
il y a 10 mois (13 nov. 2024)
Catégories associées
  • DĂ©veloppement web
  • SĂ©curitĂ© et vie privĂ©e
Licence
GNU General Public License v3.0 uniquement
Politique de confidentialité
Lire la politique de confidentialité de ce module
Historique des versions
  • Voir toutes les versions
Étiquettes
  • security
Ajouter Ă  la collection
Signaler ce module
Notes de version pour la version 2.11
Fixes bug where localStorage is not properly sourced
Improves encoder function for path search
Fixes mistake is sourcer debug statment
Plus de modules créés par bemodtwz
  • Il n’y a aucune note pour l’instant

  • Il n’y a aucune note pour l’instant

  • Il n’y a aucune note pour l’instant

  • Il n’y a aucune note pour l’instant

  • Il n’y a aucune note pour l’instant

  • Il n’y a aucune note pour l’instant

Aller à la page d’accueil de Mozilla

Modules complémentaires

  • À propos
  • Blog des modules complĂ©mentaires Firefox
  • Atelier sur les extensions
  • PĂŽle dĂ©veloppeur
  • Politiques Ă  destination des dĂ©veloppeurs
  • Blog de la communautĂ©
  • Forum
  • Signaler un problĂšme
  • Guide de revue

Navigateurs

  • Desktop
  • Mobile
  • Enterprise

Produits

  • Browsers
  • VPN
  • Relay
  • Monitor
  • Pocket
  • Bluesky (@firefox.com)
  • Instagram (Firefox)
  • YouTube (firefoxchannel)
  • ConfidentialitĂ©
  • Cookies
  • Mentions lĂ©gales

Sauf mention contraire, le contenu de ce site est disponible sous licence Creative Commons Attribution Share-Alike v3.0 ou toute version supérieure.