설정 파일

Dalfox는 설정 디렉터리를 하나만 고릅니다.

1. XDG_CONFIG_HOME이 설정되어 있고 비어 있지 않으면 $XDG_CONFIG_HOME/dalfox/
2. 그렇지 않으면 $HOME/.config/dalfox/ (HOME이 없으면 %USERPROFILE%\.config\dalfox\, 예: Windows)

첫 번째 디렉터리에 파일이 없다고 두 번째 디렉터리로 넘어가지는 않습니다. 고른 디렉터리에서 config.toml을 읽고, config.toml이 없으면 config.json을 읽습니다. 둘 다 없으면 전부 주석 처리된 config.toml 템플릿을 만들고 내장 기본값으로 실행합니다. 이 템플릿은 scan뿐 아니라 completion과 man을 제외한 어떤 서브커맨드를 처음 실행할 때도 만들어집니다.

--config <path>로 재정의할 수 있습니다. TOML과 JSON 모두 허용됩니다. .json 경로는 JSON으로 먼저, 그 밖의 경로는 TOML로 먼저 파싱하고, 실패하면 다른 형식으로 다시 시도합니다. 존재하지 않는 --config 경로는 기본 템플릿(.json 경로면 JSON)으로 새로 만들어지고, 실행은 내장 기본값으로 진행되며 stderr에 안내가 출력됩니다. 설정 파일 크기는 최대 1 MiB입니다.

모든 항목은 [scan] 테이블 아래에 위치하며 dalfox scan 플래그 이름(snake-case)을 그대로 따릅니다. 이름이 다른 것은 --blind / -b 하나로, 키 이름은 blind_callback_url입니다. 전역 --debug 플래그는 debug 키에 대응합니다.

설정 파일은 CLI 스캔에만 적용됩니다. dalfox server와 dalfox mcp는 요청마다 스캔 옵션을 받으며 [scan]을 읽지 않습니다.

전체 예시

[scan]
# INPUT
input_type = "auto"   # auto, url, file, pipe, raw-http, har
dedup_urls = "exact"  # exact, signature (파라미터 값만 다른 URL 병합), off
# state_file = "scan.state"  # 완료된 대상을 기록해 재실행 시 건너뜁니다. CLI 전용 — `dalfox server`/MCP는 무시

# OUTPUT
format = "plain"
# output = "results.json"
include_request = false
include_response = false
include_all = false
silence = false
dry_run = false
stream_findings = false
poc_type = "plain"
# limit = 100
limit_result_type = "all"
only_poc = []
# baseline = "baseline.json"
baseline_mode = "filter"
no_color = false

# TARGETS
param = []
# data = "user=test"
# headers = ["Accept: text/html"]
cookies = []
method = "GET"
# user_agent = "Mozilla/5.0"
# cookie_from_raw = "request.txt"

# SESSION
# session_check = "Sign out"
# session_check_url = "https://app.example.com/api/me"
on_session_loss = "abort"

# SCOPE
include_url = []
exclude_url = []
ignore_param = []
out_of_scope = []    # 항목 하나에 패턴 하나: ["*.gov", "cdn.example.com"]
# out_of_scope_file = "scope.txt"

# DISCOVERY
only_discovery = false
skip_discovery = false
skip_reflection_header = false
skip_reflection_cookie = false
skip_reflection_path = false

# MINING
# mining_dict_word = "params.txt"
remote_wordlists = []
skip_mining = false
skip_mining_dict = false
skip_mining_dom = false

# NETWORK
timeout = 10
scan_timeout = 0
delay = 0
rate_limit = 0
retries = 0
retry_delay = 1000
# proxy = "http://127.0.0.1:8080"
insecure = true
follow_redirects = false
ignore_return = []

# ENGINE
workers = 50
max_concurrent_targets = 50
max_targets_per_host = 100

# XSS SCANNING
encoders = ["url", "html"]
remote_payloads = []
# custom_blind_xss_payload = "blind.txt"
# blind_callback_url = "https://callback.example"
# blind_oob = []                       # [] = 공개 interactsh 메시로 활성화; 또는 서버 지정: ["oast.fun"]
# blind_oob_secret = "token"           # 자체 호스팅 interactsh 서버용 인증 토큰
# blind_oob_wait = 30                  # 페이로드 전송 후 계속 폴링할 시간(초)
# custom_payload = "payloads.txt"
only_custom_payload = false
# inject_marker = "FUZZ"
custom_alert_value = "1"
custom_alert_type = "none"
skip_xss_scanning = false
deep_scan = false
sxss = false
# sxss_url = "https://target.app/retrieval"
sxss_method = "GET"
sxss_retries = 3
max_payloads_per_param = 0
skip_ast_analysis = false
analyze_external_js = false
detect_outdated_libs = false
hpp = false

# WAF
waf_bypass = "auto"
skip_waf_probe = false
# force_waf = "cloudflare"
waf_evasion = false
waf_min_confidence = 0.3

# LOGGING
debug = false

키 레퍼런스

입력

출력

대상

세션

스캔 도중 세션 만료 감지 — 세션 모니터링을 참고하세요.

스코프

탐색 및 마이닝

네트워크

엔진

XSS 스캐닝

WAF

로깅

우선순위

CLI 플래그  >  설정 파일  >  내장 기본값

• 목록 키(headers, encoders, param 등)는 합쳐지지 않고 통째로 대체됩니다. 명령줄에 -H를 하나만 줘도 설정 파일의 headers 항목은 모두 빠집니다.
• deep_scan이나 silence 같은 켜고 끄는 스위치는 명령줄 플래그로 켤 수만 있고 끌 수는 없습니다. 설정 파일에서 true로 켜 두면 한 번의 실행만 끄는 플래그는 없습니다. 예외는 insecure로, --insecure=false가 설정 값을 덮어씁니다.

검증

설정 값은 CLI 인자 파서를 거치지 않으므로, Dalfox는 파일을 읽을 때 따로 검사합니다.

• 선택지가 정해진 키(format, poc_type, limit_result_type, only_poc, baseline_mode, custom_alert_type, dedup_urls, waf_bypass, on_session_loss, encoders)에 잘못된 값을 넣거나, 알 수 없는 method / sxss_method / force_waf, 올바른 정규식이 아닌 session_check, 절대 URL이 아닌 session_check_url, limit = 0을 쓰면 stderr에 Warning:이 출력됩니다. 해당 키는 내장 기본값으로 돌아가고 스캔은 계속됩니다. method, sxss_method, force_waf는 플래그와 똑같이 대소문자가 정규화됩니다.
• proxy, sxss_url, session_check_url은 플래그와 같은 시작 검사를 거칩니다. Dalfox가 라우팅할 수 없는 프록시 스킴이나 스킴이 http/https가 아닌 URL이면 PARSE_ERROR(종료 코드 2)로 스캔이 중단됩니다.
• 숫자 키는 대응하는 플래그와 같은 범위 제한을 받습니다(workers, timeout, delay, scan_timeout, rate_limit, retries, retry_delay, sxss_retries, max_concurrent_targets, max_targets_per_host, waf_min_confidence). 범위를 벗어나면 INVALID_INPUT_TYPE(종료 코드 2)으로 스캔이 중단됩니다.
• 알 수 없는 키와 [scan] 테이블 밖에 둔 키는 무시되며, stderr에 Warning: config <path>: unknown key `scan.header` ignored 경고가 출력되므로 철자나 위치가 틀린 키를 알아챌 수 있습니다.
• 파싱에 실패한 파일(TOML 문법 오류, workers = "10"처럼 타입이 틀린 값 등)은 통째로 무시됩니다. --config로 지정한 파일이면 문제가 된 줄과 열을 짚은 경고가 출력되고(값 자체는 자격 증명일 수 있어 출력하지 않습니다), 기본 경로의 파일이면 아무 메시지 없이 무시됩니다.

예시는 시작하기 → 설정을 참고하세요.