ENKO

모든 XSS를 사냥하세요,
당하기 전에.

파라미터마다 반사형, 저장형, DOM 기반 XSS를 찾고, 적중한 결과를 파싱한 HTML과 JavaScript에서 다시 확인합니다.

시작하기 GitHub에서 스타
6 스캔 모드
AST DOM 검증
MCP AI 지원
OSS MIT 라이선스

명령 하나로, 검증된 결과까지

대상을 넘기면 Dalfox가 파라미터를 찾고, 컨텍스트를 확인하고, 페이로드를 주입합니다. 보고하기 전에 파싱한 DOM에서 적중 여부를 확인합니다.

dalfox · scan
$dalfox scan https://xss-game.appspot.com/level1/frame
6:42PM INF start scan to https://xss-game.appspot.com/level1/frame
6:42PM INF found reflected 1 params
└── query valid_specials="/\'{`<>"();=|}[.:]+,$-" invalid_specials=""
6:42PM WRN XSS found 1 XSS
[POC][V][GET][inHTML] ...?query=%3Csvg%20onload%3Dalert%281%29%20class%3Ddlx444fc070%3E
├── Issue: XSS payload DOM object identified
├── Payload: <svg onload=alert(1) class=dlx444fc070>
└── L13: …results were found for <b><svg onload=alert(1) class=dlx444fc070></b>
6:42PM INF scan completed in 3.482 seconds
  • Homebrew
  • Snap
  • Arch (AUR)
  • Chocolatey
  • Nix
  • Cargo
$ brew install dalfox

// 기능

스캐너 하나로 XSS 작업 전체를

URL 하나든 파이프라인 전체든 그대로 돌릴 수 있습니다. CLI, 파일 배치, 파이프, 서버, MCP 어디서든 같은 엔진이 동작하고, 모든 결과에는 증거가 얼마나 강한지에 따라 등급이 붙습니다.

깊이 있는 XSS 탐색

반사형, 저장형, DOM 기반 XSS를 페이로드 최적화와 함께 찾습니다. HTML 파서와 JavaScript AST로 DOM을 검증해, 실제로 실행되는 반사와 단순히 되돌아오기만 하는 반사를 구분합니다.

reflected stored dom ast-verify

파라미터 인텔리전스

마이닝, 정적 분석, 사전 인코딩 탐지, 문자별 프로브로 파라미터가 어디에 반사되는지, 어떤 문자가 살아남는지 파악합니다.

WAF 인식

주요 WAF를 핑거프린팅하고 인코딩, 대소문자 변형, 공백·엔티티 기법으로 페이로드를 바꿔 우회합니다.

파이프라인을 위한 설계

파이프, 파일 배치, 서버 모드를 CI/CD에 그대로 쓸 수 있습니다. 프록시, 크롤러, 정찰 도구 뒤에 Dalfox를 연결하세요.

REST API & MCP

Dalfox를 REST로 제어하는 상시 서버로 실행하거나, 에이전트와 IDE에 MCP 도구로 노출합니다.

바로 제출할 수 있는 리포트

터미널용 간결한 출력부터 GitHub 코드 스캐닝용 SARIF까지, 작업 흐름에 맞는 형식을 고르세요.

JSON JSONL Markdown SARIF TOML Plain

// 모드

Dalfox를 실행하는 여섯 가지 방법

대상에 맞는 형태를 고르세요. 모든 모드가 같은 탐색·검증 엔진을 공유합니다.

$dalfox scan https://target.app

URL 하나를 스캔합니다. 파라미터를 마이닝하고, 컨텍스트마다 프로빙하고, 적중한 결과를 파싱한 응답에서 확인합니다.

$dalfox scan urls.txt

파일에 한 줄에 하나씩 적힌 대상 목록을 스캔해 리포트 하나로 모읍니다.

$cat urls.txt | dalfox scan

stdin으로 대상을 읽으므로 크롤러나 정찰 파이프라인 끝에 바로 붙일 수 있습니다.

$dalfox scan https://app/post --sxss --sxss-url https://app/feed

한 엔드포인트에 주입하고, 저장된 페이로드가 나타나는 다른 페이지를 확인합니다.

$dalfox server

비동기 스캔 작업, 연동, 대시보드를 위한 상시 REST API로 Dalfox를 실행합니다.

$dalfox mcp

Dalfox를 MCP 도구로 노출해 에이전트와 IDE가 스캔을 대신 돌리게 합니다.

설치부터 검증된 결과까지, 세 단계로

Dalfox는 실행 파일 하나입니다. 설치하고 바로 실행하면 되고, 미리 준비할 것이 없습니다.

설치

Homebrew, Snap, AUR, Chocolatey, Nix, Docker, cargo, 사전 빌드된 바이너리 중 편한 방법으로 설치하세요. 따로 관리할 런타임은 없습니다.

brew install dalfox

대상 지정

URL이나 파일을 주거나 크롤링 결과를 파이프로 넘기세요. Dalfox가 파라미터를 마이닝하고 컨텍스트마다 프로빙합니다.

dalfox scan https://target.app

결과 전달

CI, 티켓, 코드 스캐닝에 맞춰 SARIF, JSON, Markdown으로 내보내세요. 결과마다 증거가 얼마나 강한지 표시됩니다.

dalfox scan urls.txt -f sarif -o report.sarif

곳곳의 헌터들과 함께, 오픈소스로

Dalfox는 직접 쓰는 사람들이 함께 다듬습니다. 이슈를 열고, 풀 리퀘스트를 보내고, 커뮤니티와 페이로드를 나눠 보세요.

기여 가이드 열린 이슈 보기 →

기여자 여러분 감사합니다

사냥을 시작할까요?

문서를 읽고, 저장소에 스타를 남기고, 다음 정찰 루프에 Dalfox를 넣어 보세요.

시작하기 CLI 레퍼런스
ESC