ENKO

모든 XSS를 사냥하세요,
당하기 전에.

반사형, 저장형, DOM 기반 취약점을 파라미터마다 AST 수준의 정밀도로 찾아내고 검증합니다.

시작하기 GitHub에서 스타
6 스캔 모드
AST DOM 검증
MCP AI 지원
OSS MIT 라이선스

명령 하나로, 검증된 결과까지

Dalfox에 대상을 넘기면 파라미터를 탐색하고, 컨텍스트를 확인하고, 페이로드를 주입한 뒤, 리포트에 담기 전에 DOM 수준에서 적중을 확인합니다.

dalfox · scan
$dalfox scan https://xss-game.appspot.com/level1/frame
6:42PM INF start scan to https://xss-game.appspot.com/level1/frame
6:42PM INF found reflected 1 params
└── query valid_specials="/\'{`<>"();=|}[.:]+,$-" invalid_specials=""
6:42PM WRN XSS found 1 XSS
[POC][V][GET][inHTML] ...?query=%3Csvg%2Fonload%3Dalert%281%29%3E
├── Issue: XSS payload DOM object identified
├── Payload: <svg/onload=alert(1)>
└── L13: matches for <svg/onload=alert(1)>
6:42PM INF scan completed in 3.482 seconds
  • Homebrew
  • Snap
  • Arch (AUR)
  • Nix
  • Cargo
$ brew install dalfox

// 기능

스캐너 하나로 XSS 작업 전체를

URL 하나든 전체 파이프라인이든 그대로 돌립니다. CLI, 파일 배치, 파이프, 서버, MCP까지 어느 쪽이든 같은 엔진이 동작하고, 모든 결과는 파싱과 DOM 검증을 거쳐 바로 활용할 수 있는 형식으로 돌아옵니다.

깊이 있는 XSS 탐색

반사형, 저장형, DOM 기반 XSS를 페이로드 최적화와 함께 찾습니다. AST 기반 DOM 검증 덕분에 단순 반사로 인한 오탐이 사라집니다.

reflected stored dom ast-verify

파라미터 인텔리전스

마이닝, 정적 분석, BAV 테스트, 컨텍스트 인식 문자셋 프로빙으로 모든 파라미터에 완전한 공격 프로파일을 만듭니다.

WAF 인식

주요 WAF를 핑거프린팅하고 인코딩, 대소문자 변형, 폴리글롯 기법으로 페이로드를 변형해 우회합니다.

파이프라인을 위한 설계

파이프, 파일 배치, 서버 모드가 CI/CD에 들어맞습니다. 프록시, 크롤러, 정찰 스택 뒤에 Dalfox를 연결하세요.

REST API & MCP

Dalfox를 REST로 제어하는 상시 서버로 실행하거나, 에이전트와 IDE에 MCP 도구로 노출합니다.

바로 제출할 수 있는 리포트

터미널의 간결한 출력부터 GitHub 코드 스캐닝용 SARIF까지, 작업 흐름에 맞는 형식으로 내보냅니다.

JSON JSONL Markdown SARIF TOML Plain Silence

// 모드

Dalfox를 실행하는 여섯 가지 방법

대상에 맞는 형태를 고르세요. 모든 모드가 같은 탐색·검증 엔진을 공유합니다.

$dalfox scan https://target.app

Dalfox에 URL 하나를 넘기세요. 파라미터를 마이닝하고, 각 컨텍스트를 프로빙하고, 모든 적중을 DOM 수준에서 검증합니다.

$dalfox scan urls.txt

파일에 담긴 대상 목록을 한 줄에 하나씩, 같은 엔진과 하나의 리포트로 훑습니다.

$cat urls.txt | dalfox scan

stdin으로 대상을 읽어 Dalfox를 크롤러나 정찰 파이프라인에 곧장 연결합니다.

$dalfox scan https://app/post --sxss-url https://app/feed

한 엔드포인트에서 주입하고, 페이로드가 다른 곳에서 실행되는지 확인합니다. 저장형 XSS를 처음부터 끝까지 검증합니다.

$dalfox server

비동기 스캔 작업, 연동, 대시보드를 위한 상시 REST API로 Dalfox를 실행합니다.

$dalfox mcp

Dalfox를 MCP 도구로 노출해 에이전트와 IDE가 대신 스캔하도록 합니다.

설치부터 검증된 결과까지, 세 단계로

Dalfox는 이미 쓰고 있는 환경에 그대로 들어갑니다. 거창한 설치 절차도, 먼저 세워야 할 오케스트레이션 계층도 없습니다.

설치

Homebrew, Snap, Nix, cargo, 또는 사전 빌드된 바이너리로 Dalfox를 받으세요. 명령 하나면 되고, 관리할 런타임이 없습니다.

brew install dalfox

대상 지정

URL이나 파일을 주거나 크롤링 결과를 파이프로 넘기세요. Dalfox가 파라미터를 마이닝하고 컨텍스트를 프로빙하며 상황에 맞춰 조정합니다.

dalfox scan https://target.app

결과 전달

SARIF, JSON, Markdown으로 내보내거나 결과를 파이프라인으로 프록시하세요. 결과는 추측이 아니라 검증을 거쳐 나옵니다.

dalfox scan urls.txt -o report.sarif

곳곳의 헌터들과 함께, 오픈소스로

Dalfox는 직접 쓰는 사람들의 손으로 다듬어집니다. 이슈를 열고, 풀 리퀘스트를 보내고, 커뮤니티와 페이로드를 나눠 보세요. 기여 하나하나가 다음 스캔을 더 날카롭게 만듭니다.

기여 가이드 열린 이슈 보기 →

기여자 여러분 감사합니다

사냥을 시작할까요?

문서를 읽고, 저장소에 스타를 남기고, 다음 정찰 루프에 Dalfox를 넣어 보세요.

시작하기 CLI 레퍼런스
ESC