시작하기

이 장은 아무것도 없는 상태에서 검증된 XSS 취약점을 찾기까지, 5분 남짓한 과정을 안내합니다.

Dalfox란?

Dalfox는 오픈소스 XSS 스캐너이자 자동화 도구입니다. URL 하나든, URL 목록 파일이든, 파이프로 넘긴 크롤링 결과든 건네주면 다음을 수행합니다.

파라미터 탐색: 쿼리 스트링, 바디, 헤더, 쿠키, 경로, 페이지의 입력 필드에서 파라미터를 찾습니다.
컨텍스트 확인: 각 파라미터가 어디에 놓이는지(HTML, JavaScript, 속성, CSS) 파악합니다.
페이로드 주입: 컨텍스트에 맞는 페이로드를 고르고, 필터와 WAF를 넘도록 인코딩하고 변형합니다.
취약점 검증: 문자열 매칭 대신 파싱한 응답에서 확인합니다. 마크업은 HTML 파서로, 스크립트 컨텍스트는 JavaScript AST로 봅니다.
결과 보고: 작업 흐름에 맞는 형식(plain, JSON, JSONL, Markdown, SARIF, TOML)으로 출력합니다.

누구를 위한 도구인가

모의해킹·버그 헌터: 어떤 정찰 파이프라인에도 끼워 넣을 수 있는 빠른 CLI.
보안팀: SARIF 출력을 GitHub 코드 스캐닝이나 SARIF를 읽는 다른 도구에 그대로 넣을 수 있습니다.
개발자: REST API와 MCP 서버가 있어 CI/CD 파이프라인과 AI 에이전트가 자기 도구 안에서 스캔을 돌릴 수 있습니다.

어디서 시작할까

설치부터 시작해 빠른 시작을 따라가 보세요. 자주 쓰는 플래그를 설정 파일에 담아 두는 방법은 설정에 있습니다. 그다음 가이드에서 WAF 우회, 저장형 XSS 같은 더 깊은 주제를 다룹니다.

Dalfox v2(Go)를 쓰던 분이라면 v2에서 마이그레이션을 먼저 읽어보세요. 스캔 서브커맨드가 하나로 합쳐졌고, 몇몇 플래그는 이름이 바뀌거나 없어졌습니다.

이 섹션의 문서