Dalfox (한국어)

설정

Dalfox는 시작할 때 설정 파일을 읽으므로 매번 같은 플래그를 붙일 필요가 없습니다. 명시적인 CLI 플래그가 설정 파일의 값을 항상 덮어쓰니, 여기에 "기본값"을 두어도 안전합니다.

파일 위치

Dalfox는 XDG_CONFIG_HOME이 설정되어 있고 비어 있지 않으면 $XDG_CONFIG_HOME/dalfox/config.toml을, 그렇지 않으면 $HOME/.config/dalfox/config.toml을 읽습니다. 같은 디렉터리에 config.toml이 없으면 config.json을 읽습니다.

--config로 다른 위치를 지정할 수 있습니다.

dalfox --config ./dalfox.toml scan https://target.app

파일이 없으면 Dalfox는 처음 실행할 때 기본 경로에 템플릿을 만듭니다. 모든 줄이 주석 처리되어 있으므로 직접 고치기 전까지는 아무것도 바꾸지 않습니다.

최소 설정

[scan]
format = "json"
output = "results.json"
timeout = 15
workers = 100
encoders = ["url", "html"]

스캔을 실행하면 해당 플래그가 자동으로 적용됩니다.

dalfox 'https://target.app/?q=test'
# → workers=100으로 스캔하고 JSON 결과를 results.json에 씀

우선순위

CLI 플래그  >  설정 파일  >  내장 기본값

명령줄에 지정한 것이 우선합니다. 그래서 설정 파일에는 무난한 기본값을 두고, 스캔할 때마다 필요한 값만 덮어쓰면 됩니다.

# 설정 파일은 workers=100이지만, 이번 빠른 스캔은 20으로
dalfox scan --workers 20 https://target.app

스캔 플래그를 쓰려면 scan 서브커맨드를 명시해야 합니다. dalfox 축약형은 대상과 전역 플래그만 받습니다. deep_scan = true처럼 설정 파일에서 켠 스위치는 끄는 명령줄 플래그가 없어서 모든 실행에 그대로 적용됩니다. 자세한 내용은 우선순위를 참고하세요.

형식

Dalfox는 TOML과 JSON을 모두 지원합니다. TOML이 기본값이며, 도구나 UI에서 파일을 생성하는 경우 JSON이 편리합니다.

# ~/.config/dalfox/config.toml
[scan]
format = "sarif"
silence = true

{
  "scan": {
    "format": "sarif",
    "silence": true
  }
}

무엇을 설정할 수 있나요?

dalfox scan 아래에 CLI 플래그가 있는 모든 항목은 [scan] 테이블에 넣을 수 있습니다(--blind의 키 이름은 blind_callback_url). 이 파일은 CLI 스캔에만 적용되며 dalfox server와 dalfox mcp는 읽지 않습니다. 자주 쓰는 키 몇 가지입니다.

키	예시	기능
`format`	`"json"`	출력 형식(`plain`, `json`, `jsonl`, `markdown`, `sarif`, `toml`)
`output`	`"report.json"`	기본 출력 파일
`silence`	`true`	로그를 억제하고 탐지 결과만 출력
`timeout`	`15`	요청 타임아웃(초)
`delay`	`200`	요청 간 지연(ms)
`workers`	`100`	대상당 동시 워커 수
`encoders`	`["url","html","base64"]`	페이로드 인코더
`remote_payloads`	`["portswigger"]`	원격 페이로드 소스
`remote_wordlists`	`["burp"]`	원격 파라미터 워드리스트
`headers`	`["Accept: text/html"]`	추가 요청 헤더
`user_agent`	`"Dalfox Scanner"`	기본 User-Agent
`waf_bypass`	`"auto"`	WAF 우회 모드(`auto`, 탐지만 하려면 `off`)
`insecure`	`true`	TLS 인증서 검증 건너뛰기(`false`면 검증 수행)
`follow_redirects`	`true`	3xx 응답 따라가기

모든 키는 설정 파일 레퍼런스를 참고하세요.

시크릿

설정 파일을 커밋한다면 API 키, 베어러 토큰, blind-XSS 콜백 호스트명은 파일에서 빼세요. Dalfox가 환경 변수에서 읽는 시크릿은 REST 서버의 API 키 하나뿐입니다.

# .env 또는 셸 프로필
export DALFOX_API_KEY="..."

나머지(-H "Authorization: …", --cookies, -b)는 명령줄에서만 넘기고 파일에는 남기지 마세요.

다음 단계

설치

플랫폼에 맞는 설치 방법을 고르세요. Dalfox는 별도로 관리할 런타임 없이 단일 실행 파일 하나로 배포됩니다.

Homebrew (macOS & Linux)

brew install dalfox

Homebrew formula는 최신 안정 버전을 따라갑니다. 출처: formulae.brew.sh/formula/dalfox.

프로젝트 자체 tap은 같은 릴리스를 소스에서 빌드하며(그래서 Rust도 함께 설치됩니다), man 페이지와 셸 자동완성까지 설치합니다.

brew install hahwul/dalfox/dalfox

Snap (Ubuntu / Linux)

sudo snap install dalfox

Arch Linux (AUR)

AUR 헬퍼 사용(권장):

yay -S dalfox
# 또는
paru -S dalfox

AUR 패키지에서 직접 빌드:

git clone https://aur.archlinux.org/dalfox.git
cd dalfox
makepkg -si

Nix & NixOS

# 설치 없이 한 번만 실행
nix-shell -p dalfox

# Nix flakes: GitHub에서 최신 버전 실행
nix run github:hahwul/dalfox -- scan https://example.com

# 프로필에 설치
nix profile install github:hahwul/dalfox

Dalfox는 nixpkgs에 등록되어 있습니다. 최신 릴리스는 먼저 unstable에 올라오므로, 릴리스 사이 기간에는 위 flake 쪽이 nixpkgs보다 앞서 있습니다.

flake가 지원하는 시스템은 x86_64-linux, aarch64-linux, aarch64-darwin입니다. nixpkgs unstable이 x86_64-darwin을 제외했기 때문에 Intel macOS는 빠져 있으니, 아래의 macos-x86_64 릴리스 아카이브를 쓰세요.

이 flake가 고정한 nixpkgs 대신 사용자의 nixpkgs로 Dalfox를 빌드하려면 오버레이를 쓰세요. 시스템 flake에서는 이렇게 선언합니다.

# flake.nix
{
  inputs.dalfox.url = "github:hahwul/dalfox";

  outputs = { self, nixpkgs, dalfox, ... }@inputs: {
    nixosConfigurations.myhost = nixpkgs.lib.nixosSystem {
      specialArgs = { inherit inputs; };
      modules = [ ./configuration.nix ];
    };
  };
}

그리고 inputs를 전달받는 모듈에서 적용합니다.

# configuration.nix
{ pkgs, inputs, ... }:
{
  nixpkgs.overlays = [ inputs.dalfox.overlays.default ];
  environment.systemPackages = [ pkgs.dalfox ];
}

flake는 Dalfox 자체를 개발할 때 쓰는 셸도 제공합니다. Rust 툴체인과 just, 테스트 하네스가 필요로 하는 Crystal 런타임이 들어 있고 dalfox 바이너리는 포함하지 않습니다.

git clone https://github.com/hahwul/dalfox && cd dalfox
nix develop

direnv를 설치했다면 저장소의 .envrc 덕분에 direnv allow 한 번으로 같은 셸이 자동으로 활성화됩니다.

Docker

멀티 아키텍처 이미지(linux/amd64, linux/arm64)가 Docker Hub와 GitHub Container Registry에 올라갑니다. 바이너리는 /app/dalfox에 있고 이미지에 엔트리포인트가 없으므로 명령에 바이너리를 직접 지정하세요.

docker run --rm hahwul/dalfox:latest ./dalfox scan https://example.com

# 또는 GHCR에서
docker run --rm ghcr.io/hahwul/dalfox:latest ./dalfox scan https://example.com

/app이 이미지의 PATH에 없으므로 dalfox만 쓰면 실행되지 않습니다. URL 목록을 스캔하려면 파일을 컨테이너에 마운트하거나 -i로 파이프하세요.

docker run --rm -v "$PWD:/data" hahwul/dalfox:latest ./dalfox scan /data/urls.txt
cat urls.txt | docker run --rm -i hahwul/dalfox:latest ./dalfox scan

latest는 최신 릴리스입니다. 릴리스마다 v.. 태그가 붙고, Docker Hub에는 v.와 v 태그도 붙습니다. ghcr.io/hahwul/dalfox:main은 main 브랜치를 따라갑니다.

Cargo (crates.io)

cargo install dalfox

Rust 1.93 이상이 필요합니다(크레이트의 rust-version). ~/.cargo/bin/dalfox에 빌드됩니다.

사전 빌드된 바이너리

github.com/hahwul/dalfox/releases에서 OS/아키텍처에 맞는 릴리스 아카이브를 내려받아 압축을 풀고, 바이너리를 PATH에 있는 경로(/usr/local/bin, ~/.local/bin 등)에 두면 됩니다.

릴리스마다 다음 빌드가 함께 올라갑니다.

macos-x86_64, macos-aarch64
linux-x86_64 (glibc), linux-x86_64-musl (정적 링크, Alpine·Docker·CI에 권장)
linux-aarch64 (glibc), linux-aarch64-musl (정적 링크)
windows-x86_64

아카이브 이름은 dalfox-v- 형식이며, macOS와 Linux는 .tar.gz, Windows는 .zip입니다. Linux는 두 아키텍처 모두 .deb와 .rpm 패키지도 나오고, 모든 아카이브와 패키지에는 .sha256이 붙으며 checksum.txt도 함께 올라갑니다. 릴리스마다 CycloneDX SBOM(dalfox.cdx.xml)도 포함됩니다.

소스에서 빌드

git clone https://github.com/hahwul/dalfox
cd dalfox
cargo build --release
# 바이너리 경로: ./target/release/dalfox

Rust 1.93 이상(2024 edition)이 필요합니다. 없다면 rustup으로 설치하세요.

설치 확인

dalfox --version

dalfox 3.2.3 같은 한 줄이 출력되면 됩니다.

셸 자동완성

hahwul/dalfox Homebrew tap, AUR 패키지, .deb / .rpm 패키지, Nix flake로 설치하면 bash·zsh·fish 자동완성(과 dalfox(1) man 페이지)이 함께 설치되므로 따로 할 일이 없습니다.

코어 brew install dalfox formula, Snap, Docker, Cargo, 릴리스 아카이브, 소스 빌드처럼 다른 방법으로 설치했다면 직접 생성하면 됩니다.

dalfox completion bash > /etc/bash_completion.d/dalfox
dalfox completion zsh > "${fpath[1]}/_dalfox"
dalfox completion fish > ~/.config/fish/completions/dalfox.fish

powershell과 elvish도 지원합니다. 자세한 내용은 CLI 레퍼런스를 참조하세요.

도움말 보기

Dalfox는 clap을 쓰기 때문에 도움말을 언제든 볼 수 있습니다.

dalfox --help
dalfox scan --help

다음 단계

빠른 시작에서 첫 스캔을 실행해 보세요. 스캔 전에 기본값을 조정하고 싶다면 설정으로 넘어가세요.

v2에서 마이그레이션

Dalfox v3은 기존 Go 구조를 버리고 Rust로 완전히 새로 작성한 버전입니다. Go 소스는 v2 브랜치에 남아 있고 치명적인 보안 수정만 백포트됩니다. 새로운 작업은 모두 v3에서 이루어집니다.

이 페이지는 v2 작업 흐름을 v3에 옮기는 방법을 정리합니다. 어떤 서브커맨드가 하나로 합쳐졌고, 어떤 플래그 이름이 바뀌었고, 무엇이 왜 사라졌으며 그 대가로 무엇을 얻었는지 다룹니다.

1. 서브커맨드 통합

v3는 스캔 관련 서브커맨드를 하나의 진입점으로 모았습니다.

v2 사용법	v3 대응	설명
`dalfox url [url]`	`dalfox scan [url]`	`dalfox [url]`만 써도 됩니다 — `scan`이 기본 서브커맨드입니다. 다만 이 형태는 `--config`, `--debug`, `--no-color`, `-S` 외의 스캔 플래그를 받지 않습니다
`dalfox file [file]`	`dalfox scan [file]`	입력 종류는 자동으로 판별합니다
`dalfox pipe`	`cat targets \| dalfox scan` (또는 `dalfox scan --input-type pipe`)	파이프 입력은 `stdin`에서 그대로 읽습니다
`dalfox sxss [url]`	`dalfox scan [url] --sxss`	저장형 XSS는 이제 스캔 옵션입니다 — 저장형 XSS 참고
`dalfox server --type mcp`	`dalfox mcp`	MCP는 별도의 stdio 서브커맨드가 되었습니다 — MCP 서버 참고
`dalfox server`	`dalfox server`	기본 바인딩 주소가 v2의 `0.0.0.0`에서 `127.0.0.1`로 바뀌었습니다. 모든 인터페이스에서 받으려면 `--host 0.0.0.0`을 주세요. 포트는 그대로 `6664`이고 `--type`은 없어졌습니다 — REST API 서버 참고
`dalfox payload --entity-event-handler`, `--entity-useful-tags`, `--entity-special-chars`, `--remote-portswigger`, `--remote-payloadbox`	`dalfox payload event-handlers`, `useful-tags`, `special-chars`, `portswigger`, `payloadbox`	스위치 대신 위치 인자 하나로 고릅니다. `--enum-*`, `--entity-gf`, `--make-bulk`, `--encoder-url`에 대응하는 셀렉터는 없습니다. 있는 셀렉터는 `dalfox payload --help`로 확인하세요

legacy url, file, pipe 서브커맨드는 숨겨진 별칭으로 남아 있습니다. 세 가지 모두 v2 형태 그대로 동작합니다. dalfox url URL도, dalfox url -u URL도 됩니다. 새 스크립트에서는 dalfox scan URL을 쓰세요. sxss는 남지 않았습니다. 저장형 XSS 스캔은 scan 서브커맨드의 --sxss 플래그로 옮겨졌습니다.

v2의 --rawdata, --har, --http 입력 스위치도 없어졌습니다. 프록시로 잡아둔 raw HTTP 요청과 HAR 익스포트는 자동으로 판별되며(dalfox scan request.txt, dalfox scan capture.har), --input-type raw-http / --input-type har로 강제할 수도 있습니다. 요청 줄에 경로만 있으면 스킴은 :scheme 의사 헤더가 있을 때 그 값을 따르고, 없으면 HTTP/2 신호가 있거나 Host가 :443일 때 https, 그 밖에는 http입니다. 스킴을 고정하려면 요청 줄에 전체 URL을 쓰세요. Raw HTTP 모드와 HAR 모드를 참고하세요.

2. 이름이 바뀐 플래그

v2 플래그	v3 플래그	이유와 동작
`-w, --worker`	`--workers`	이름이 바뀌었고 `-w` 단축형은 없습니다. 동시에 도는 스캔 워커 수를 정하며, 기본값이 100에서 50으로 줄었습니다.
`-H, --header`	`-H, --headers`	긴 이름만 복수형이 되었고 `-H`는 그대로입니다. 여러 번 넘길 수 있습니다.
`-C, --cookie`	`--cookies`	일관성을 위해 복수형으로 바꿨고 `-C` 단축형은 없습니다. 여러 번 넘길 수 있습니다.
`-p, --param`	`-p, --param`	같은 플래그지만 위치 접미사를 붙일 수 있습니다: `-p id:query`, `-p sort:body`, `-p token:header`.
`--skip-mining-all`	`--skip-mining`	이름만 바뀌었습니다.
`--mining-dict=false`, `--mining-dom=false`	`--skip-mining-dict`, `--skip-mining-dom`	`--skip-*` 형태만 남았습니다(v2에도 있던 플래그입니다).
`--output-request`, `--output-response`	`--include-request`, `--include-response`	이름이 바뀌었고, `--include-all`은 둘 다 켭니다. 여전히 옵트인입니다.
`--limit-result`	`--limit`	이름이 바뀌었고, 상한에 도달하면 스캔을 멈춥니다. `--limit-result-type`은 이름 그대로입니다.
`--trigger` (`sxss`)	`--sxss-url`	`--sxss`만 주고 `--sxss-url`을 생략하면 폼 탐색 결과로 확인 URL을 자동 판별합니다.
`--silence-force` (`file` / `pipe`)	`-S, --silence`	이제 `-S`가 PoC 출력만 남깁니다.
`--mass`, `--multicast`, `--mass-worker` (`file` / `pipe`)	`--max-concurrent-targets`, `--max-targets-per-host`	대상은 항상 동시에 스캔하며, 이 두 플래그로 그 폭을 제한합니다.

플래그 전체 목록은 CLI 레퍼런스에 있습니다.

3. 사라진 기능과 대안

v3를 빠르고 안전하게, XSS에만 집중하도록 유지하기 위해 몇몇 레거시 플래그와 그 뒤의 무거운 엔진을 걷어냈습니다.

사라진 v2 플래그	대안	이유
`--use-bav`, `--skip-bav`	없음.	범위. BAV(Basic Another Vulnerability) 점검을 제거했습니다. v3는 오직 XSS 스캐너이며, 다른 취약점 유형은 전용 스캐너를 쓰는 편이 낫습니다.
`--found-action` , `--found-action-shell`	REST API 웹훅, 또는 stdout 파이프(`dalfox scan ... \| post-script.sh`).	보안. 결과마다 임의 셸 명령을 실행하는 구조는 RCE 위험을 불러오고 동시성도 발목 잡았습니다.
`--skip-headless`, `--force-headless-verification`	설정할 것이 없습니다 — 정적 분석이 기본으로 켜져 있습니다(`--skip-ast-analysis`로 끌 수 있습니다).	엔진 교체. Headless Chrome(`chromedp`)을 완전히 없앴습니다. v3는 컴파일러급 JavaScript 파서(`oxc`)로 데이터 흐름과 DOM 싱크를 브라우저 없이 추적합니다. 탐지 모델 참고.
`--grep` , `--skip-grepping`	없음.	엔진 교체. 정규식 응답 매칭 대신 컨텍스트를 아는 AST 분석을 씁니다. `--only-poc g`(grep 결과)도 함께 사라졌습니다.
`--report`, `--report-format`	`-f markdown -o` , `-f sarif -o` .	표준화. 리포트 전용 플래그를 출력 형식 플래그로 합쳤습니다 — 출력과 리포트 참고.
`--max-cpu`	자동.	구조 변화. 비동기 스케줄러(`tokio`)가 코어에 작업을 알아서 분배하므로 수동 CPU 고정은 의미가 없습니다.
`--no-spinner`	자동.	UI. 스피너와 진행 표시줄은 stdout이 터미널이고 `-S`가 꺼져 있을 때만 그려집니다. 배너는 `-S`와 `plain`을 제외한 모든 출력 형식에서 빠집니다.
`--context-aware`, `--magic-char-test`	설정할 것이 없습니다.	기본 내장. 반사되는 모든 파라미터에 문자별 프로브(`valid_specials` / `invalid_specials`)를 보내고, 그 결과로 페이로드를 고릅니다.
`--deep-domxss`, `--detailed-analysis`, `--fast-scan`, `--har-file-path`, `--output-all`	없음.	제거됨. 대신할 v3 플래그가 없습니다. v3는 HAR 파일을 입력으로 읽지만 기록하지는 않습니다.

헤드리스 검증이 없어졌기 때문에 결과의 증거 등급이 v2보다 중요해졌습니다. [V]는 파싱한 응답에서 DOM 수준으로 확인된 것이고, [A]는 정적 분석이 찾아낸 소스→싱크 흐름으로 브라우저에서 한 번 확인해볼 값입니다. 등급 판정은 탐지 모델에서 설명합니다.

4. v3에서 새로 생긴 것

MCP 서버(dalfox mcp) — stdio 위의 JSON-RPC로 AI 코딩 어시스턴트에 Dalfox를 노출하며, v2의 server --type mcp를 대신합니다. MCP 서버 참고.
시간 예산(--scan-timeout ) — 대상별 페이로드 주입 단계에 상한을 두어, 반쯤 멈춘 서버가 실행을 붙잡지 못하게 합니다. 사전 점검, 탐색, 마이닝은 그 단계보다 먼저 실행되어 이 상한에 포함되지 않으며, 거기에는 요청 단위 --timeout만 적용됩니다. (dalfox server와 MCP의 scan_timeout은 작업 전체에 적용됩니다.)
페이로드 상한(--max-payloads-per-param ) — 조합 폭발(우회 × 인코더)이 요청 폭주로 번지지 않게 막습니다.
사전 점검(--dry-run) — 페이로드를 한 개도 보내지 않고 탐색된 파라미터와 예상 요청 수를 보여줍니다.
적응형 WAF 우회(--waf-evasion) — v2에도 있던 플래그지만 그때는 worker=1, delay=3s로 고정된 프리셋이었습니다. v3에서는 (WAF 탐지 여부와 무관하게) 요청 간격을 무작위화하고, 차단 응답이 몰릴 때 쿨다운을 점증시킵니다. WAF 우회 참고.
HTTP 파라미터 오염(--hpp) — 쿼리 파라미터를 중복시켜 문자열 매칭에 의존하는 WAF를 지나갑니다.
관리형 OAST(--blind-oob) — interactsh 세션을 등록하고 콜백을 그것을 일으킨 페이로드와 연결합니다. 기존의 -b 콜백 URL과 함께 쓸 수 있습니다.
속도 조절과 재시도(--rate-limit, --retries) — 모든 워커가 공유하는 전역 초당 요청 상한, 그리고 5xx와 일시적 오류에 대한 백오프 재시도.
이어서 하기와 증분 실행(--state-file, --baseline) — 이전 실행에서 끝낸 대상은 건너뛰거나, 이전 JSON 리포트 이후 새로 생긴 결과만 보고합니다.
세션 감시 — 스캔에 자격증명이 있으면 자동으로 켜지며(--session-check로 확인할 마커를 직접 지정할 수 있습니다), 인증된 스캔 도중 세션이 끊기면 깨끗한 결과가 아니라 미완료로 보고합니다. 세션 모니터링 참고.
셸 자동완성(dalfox completion ) — bash, zsh, fish, PowerShell, Elvish.

다음 단계

스캔 모드를 다시 읽어보세요. 손이 기억하는 플래그가 옮겨졌을 수 있습니다.
자주 쓰는 v2 명령줄은 설정 파일로 옮기세요.
CLI 레퍼런스에서 v2에 아예 없던 플래그들을 훑어보세요.

빠른 시작

이 페이지는 설치부터 검증된 탐지 결과까지 단계별로 안내합니다. 실제 출력을 확인할 수 있도록 의도적으로 취약하게 만든 데모 대상을 사용합니다.

테스트 권한이 있는 대상만 스캔하세요. Dalfox는 실제 XSS 페이로드를 전송합니다.

1. 단일 URL 스캔

dalfox 'https://xss-game.appspot.com/level1/frame?query=test'

첫 번째 인자가 대상입니다. Dalfox는 이것이 URL임을 알아보고 scan 서브커맨드를 자동으로 붙여 실행합니다. ?나 &가 들어간 URL은 따옴표로 감싸세요. 셸이 특수 문자로 해석하며, zsh는 따옴표 없는 ?를 만나면 no matches found를 내고 실행을 멈춥니다. 실행하면 이런 것들이 보입니다.

버전이 적힌 배너.
파라미터를 찾고 컨텍스트를 살피는 동안 찍히는 INF 라인.
WRN XSS found N XSS 요약과 그 뒤에 결과마다 찍히는 [POC][V]…(취약) 또는 [POC][R]…(반사됨) 라인. 그 아래에 이슈 내용, 실제로 통한 페이로드, 페이로드가 들어간 응답 줄이 붙습니다.
마지막의 INF scan completed in … seconds.

서브커맨드 없는 이 형태는 전역 플래그(--config, --debug, --no-color, -S)만 받습니다. 그 밖의 스캔 플래그를 쓰려면 dalfox scan … 형태가 필요하며, 이 페이지의 나머지 예제도 이 형태를 씁니다.

2. 파일에서 스캔

크롤러가 뽑아둔 URL 목록을 그대로 넘기세요.

# urls.txt, 한 줄에 대상 하나
dalfox scan urls.txt

URL마다 같은 파이프라인을 거칩니다. 탐지 결과는 스캔이 끝날 때 WRN XSS found N XSS 요약 뒤에 출력됩니다. 검증되는 즉시 하나씩 보고 싶다면 --stream-findings를 더하세요.

3. 파이프라인에서 스캔

파이프로 입력하면 Dalfox는 stdin에서 읽습니다.

cat urls.txt | dalfox
# 또는 정찰 도구와 연결해서:
waybackurls example.com | gf xss | dalfox

4. JSON 출력 얻기

jq나 대시보드, CI에 그대로 물려 쓰세요.

dalfox scan 'https://target.app/search?q=test' -f json -o report.json

plain을 제외한 모든 형식(json, jsonl, markdown, sarif, toml)은 배너를 끄기 때문에 파일이 깔끔하게 남습니다.

종료 코드도 CI에 맞춰져 있습니다. 0은 탐지 결과 없음, 1은 탐지 결과 있음, 2는 오류이거나 믿을 수 없는 결과(모든 대상 접속 실패, 유실된 요청이 너무 많음, 로그인 세션 만료)입니다. 종료 코드를 참고하세요.

5. 인증이 필요한 스캔

쿠키나 헤더, 커스텀 메서드를 함께 넘기면 됩니다.

dalfox scan https://api.target.app/v1/users \
  -X POST \
  -H "Authorization: Bearer eyJ..." \
  -H "Content-Type: application/json" \
  -d '{"name":"test"}' \
  --cookies "session=abc123"

프록시로 잡아둔 raw HTTP 요청 파일을 그대로 물려도 됩니다.

dalfox scan --input-type raw-http request.txt

브라우저 DevTools나 프록시에서 뽑은 HAR 전체를 다시 흘려보낼 수도 있습니다. Dalfox는 그 안의 모든 요청을 스캔하며, 각 요청의 메서드, 헤더, 쿠키, 본문을 그대로 살립니다.

dalfox scan capture.har            # 자동 판별
dalfox scan --input-type har capture.har

대역외 콜백(Interactsh, Burp Collaborator, XSS Hunter 등)을 씁니다.

dalfox scan https://target.app \
  -b https://your-callback.interact.sh

블라인드 페이로드는 요청에 이미 들어 있는 파라미터(쿼리, 폼 인코딩된 -d 본문, -H 헤더, 쿠키)와 페이지에 있는 같은 출처 POST 폼에 들어갑니다. 탐색이나 마이닝으로 나중에 찾은 파라미터에는 가지 않습니다. 나중에 관리자 패널에서 페이로드가 터지면 콜백 서버가 그것을 기록합니다.

interactsh(OAST) 서버 관리를 Dalfox에 맡길 수도 있습니다. 세션을 등록하고, 콜백을 원본 페이로드와 연결 짓고, 알아서 폴링합니다.

dalfox scan https://target.app --blind-oob             # 공개 interactsh 메시
dalfox scan https://target.app --blind-oob=oast.fun    # 서버 지정

도착한 콜백은 detection_method: oob인 V 탐지 결과가 됩니다. 자체 호스팅 서버라면 --blind-oob-secret을 쓰고, 스캔이 끝난 뒤 폴링을 얼마나 더 이어갈지는 --blind-oob-wait으로 정합니다. 자세한 내용은 Blind XSS를 참고하세요.

OAST 채널에서 --insecure(기본으로 켜져 있음)는 --blind-oob=로 직접 지정한 서버, 예컨대 자체 서명 인증서를 쓰는 자체 호스팅 서버에만 적용됩니다. 공개 interactsh 서버는 항상 TLS 검증을 거칩니다.

7. 먼저 Dry-run 실행

--dry-run으로 Dalfox가 무엇을 스캔할지 미리 봅니다.

dalfox scan https://target.app --dry-run

페이로드는 하나도 쏘지 않은 채 파라미터를 찾고 요청량만 가늠합니다.

출력 읽기

각 탐지 결과에는 태그가 붙습니다.

태그	의미
`[V]`	취약(Vulnerable): Dalfox가 입력이 악용 가능하다고 판단함 — 파싱된 응답에서 페이로드가 실행 가능한 위치에 도달했거나(예: Dalfox 마커가 붙은 DOM 요소), 대역외 콜백이 발생함
`[A]`	AST 탐지(AST-detected): 정적 JS 분석에서 소스→싱크 흐름을 발견함
`[R]`	반사됨(Reflected): 페이로드가 응답에 나타났으나 DOM 증거는 없음
`[I]`	정보(Informational): XSS 판정이 아님. 예: 옵트인 `--detect-outdated-libs`로 찾은 알려진 취약 JS 라이브러리

V와 A는 바로 조치할 수 있는 결과입니다. R은 한 번 볼 만하지만 이후 단계에서 더 걸러질 수 있습니다.

[V]는 브라우저 실행이 아닙니다. Dalfox는 설계상 브라우저를 구동하지 않습니다. 순수 클라이언트 사이드 DOM-XSS는 지금은 [A]로 보고되니 브라우저에서 직접 확인해 보세요. 각 결과에는 detection_method(어떻게 찾았는지)와 confidence(증거가 그 주장을 얼마나 강하게 뒷받침하는지)도 함께 실립니다 — 탐지 모델 문서를 참고하세요.

다음 단계

다양한 스캐닝 모드를 알아보세요.
파라미터가 어떻게 탐색되는지 이해하세요.
까다로운 대상을 위해 페이로드와 인코더를 조정하세요.
즐겨 쓰는 플래그를 설정 파일에 저장하세요.

탐지 모델

Dalfox의 모든 탐지 결과는 서로 다른 세 질문에 답합니다. 이 셋을 하나의 척도로 읽는 것이 출력에 대한 오해의 가장 큰 원인이라, 별도 필드로 분리되어 있습니다.

축	필드	답하는 질문
신뢰도	`type` — `V` / `R`	이것을 취약점이라고 말할 수 있나?
방식	`detection_method`	어떻게 찾았나?
영향도	`severity`	악용되면 얼마나 나쁜가?

셋 중 둘은 서로 독립적으로 움직입니다. severity는 아직 아닙니다. XSS 탐지 결과에서 severity는 현재 티어를 다시 말한 값이라(V → High, A → Medium, R → Info), 여기에 필터나 정렬을 걸어도 type이 주지 않는 정보는 없습니다. 실제 정보를 담는 건 라이브러리 권고에서 값을 가져오는 I뿐입니다. severity가 스스로 영향도를 판정하기 전까지는 표시용 편의로 보세요.

[A]는 이 분리보다 먼저 만들어졌습니다. type 필드에 자리하면서 방식 질문에 답하기 때문에, 코드를 포함해 누구도 이것이 신뢰도 척도에서 어디에 속하는지 말할 수 없었습니다. 아래 전환 절에 따라 흡수될 예정입니다.

이 페이지는 그 구분이 출력만 봐서는 드러나지 않기 때문에 존재합니다. 이슈 #1238에서 @OSTARA711과 정리한 내용을 토대로 작성했습니다.

신뢰도: `type`의 의미

태그	이름	의미
`V`	Vulnerable(취약)	Dalfox가 이 입력이 악용 가능하다고 판단합니다. 조치하세요.
`R`	Reflected(반사됨)	페이로드가 응답에 돌아왔지만 실행 가능한 위치인지는 확인되지 않았습니다. 주장이 아니라 신호이므로 직접 확인하세요.
`A`	AST 탐지	과도기 — 방식 라벨입니다. 전환 참고.
`I`	정보성	XSS 주장이 아닙니다 (예: 알려진 취약 JS 라이브러리, CWE-1104).

--only-poc로 필터링합니다 (예: --only-poc v, --only-poc v,a, --only-poc i).

`V`가 뜻하지 않는 것

V는 브라우저 실행이 아닙니다. Dalfox는 브라우저를 구동하지 않고 CDP도 쓰지 않습니다. 페이지를 렌더링하거나 alert()가 뜨는 것을 관찰하지 않습니다. 요청 기반 방식에서 V는 페이로드가 실제 HTTP 응답으로 파싱한 DOM 트리에서 발견됐다는 뜻입니다. 정적 분석이지만, R의 단순 문자열 매칭보다 강한 증거에 근거합니다.

Dalfox가 실제 실행을 관측하는 방식은 대역외 콜백(--blind-oob를 쓴 blind XSS) 하나뿐입니다. 주입된 -b/--blind 또는 --blind-oob가 설정된 경우

대부분의 페이로드 템플릿은 마커(class={CLASS} 또는 id={ID})를 지니고 있어, 검증 단계에서 DOM 내에서 자신의 요소를 확실하게 식별할 수 있습니다. 길이 제한이 있는 반사에 들어가도록 마커를 뺀 짧은 페이로드도 몇 개 있는데, 이런 페이로드는 파싱된 응답에서 페이로드 자신의 이벤트 핸들러나

Dalfox (한국어)

설정

파일 위치

최소 설정

우선순위

형식

무엇을 설정할 수 있나요?

시크릿

다음 단계

설치

Homebrew (macOS & Linux)

Snap (Ubuntu / Linux)

Arch Linux (AUR)

Nix & NixOS

Docker

Cargo (crates.io)

사전 빌드된 바이너리

소스에서 빌드

설치 확인

셸 자동완성

도움말 보기

다음 단계

v2에서 마이그레이션

1. 서브커맨드 통합

2. 이름이 바뀐 플래그

3. 사라진 기능과 대안

4. v3에서 새로 생긴 것

다음 단계

빠른 시작

1. 단일 URL 스캔

2. 파일에서 스캔

3. 파이프라인에서 스캔

4. JSON 출력 얻기

5. 인증이 필요한 스캔

6. Blind XSS 탐지

7. 먼저 Dry-run 실행

출력 읽기

다음 단계

탐지 모델

신뢰도: type의 의미

V가 뜻하지 않는 것

신뢰도: `type`의 의미

`V`가 뜻하지 않는 것