Salah satu celah keamanan web yang paling sering dibahas adalah XSS, yaitu penyisipan kode berbahaya ke dalam halaman yang dilihat pengguna lain. Menemukannya secara manual butuh ketelitian, karena setiap masukan bisa berakhir di tempat yang berbeda di dalam halaman. Dalfox mencoba memangkas pekerjaan itu dengan mengotomatiskan proses pencarian dan verifikasinya.
Apa Itu Dalfox?
Dalfox adalah alat open source yang berfokus pada otomatisasi pencarian celah XSS. Alat ini menerima satu URL, berkas berisi banyak URL, atau hasil crawl yang dialirkan lewat pipa, lalu menjalankan pemeriksaan terhadapnya. Versi 3 dari Dalfox adalah penulisan ulang penuh dengan bahasa Rust, sementara kode versi 2 yang berbasis Go masih disimpan di cabang v2 dan tetap menerima perbaikan keamanan.
Bagi yang belum akrab dengan istilahnya, XSS adalah celah ketika penyerang berhasil menyisipkan skrip ke halaman web sehingga skrip itu berjalan di peramban pengunjung. Akibatnya bisa beragam, mulai dari pencurian data sesi sampai tampilan halaman yang diubah. Dalfox membantu menemukan titik mana yang bisa disisipi skrip semacam itu.
Cara Kerjanya
Dalfox bekerja dalam beberapa tahap. Pertama, ia mencari parameter di sepanjang query string, isi permintaan, header, cookie, dan DOM. Setelah itu, ia menyelidiki konteks tiap parameter, yaitu tempat parameter tersebut berakhir di dalam halaman, apakah di HTML, JavaScript, atribut, atau CSS.
Dari situ, payload yang disesuaikan dengan konteks tiap parameter disuntikkan, dengan opsi pengkodean untuk menghindari WAF. Hasilnya diverifikasi langsung pada respons yang sudah diurai, bukan sekadar pencocokan teks biasa. Untuk konteks markup, verifikasi memakai pengurai HTML, sedangkan untuk konteks skrip memakai AST JavaScript. Pendekatan ini membuat temuan yang dilaporkan lebih meyakinkan.
Fitur Utama
Dalfox punya beberapa subperintah, di antaranya scan untuk pemeriksaan, server untuk REST API, payload untuk mengelola payload, dan mcp untuk server MCP. Mode scan bisa mendeteksi sumber masukan secara otomatis, baik dari URL, berkas, pipa, maupun HTTP mentah.
Dari sisi penemuan, tersedia analisis parameter, analisis statis, pengujian BAV, dan parameter mining. Pemindaiannya mencakup XSS reflected, stored (SXSS), dan berbasis DOM. Untuk WAF, ada fitur fingerprinting dengan skor keyakinan, pelacakan bypass, serta pengaturan ambang lewat --waf-min-confidence.
Pilihan HTTP juga lengkap, seperti header khusus, cookie, metode, dan proxy. Hasilnya bisa dikeluarkan dalam format JSON, JSONL, plain, Markdown, SARIF, dan TOML, dengan mode senyap serta laporan rinci. Dalfox juga bisa diperluas lewat REST API, server MCP berbasis stdio, payload kustom, dan daftar kata dari sumber jarak jauh.
Cara Menjalankannya
Dalfox dipanggil dengan pola dalfox [mode] [target] [flags]. Sasaran bisa berupa satu URL, berkas berisi daftar URL, atau masukan dari pipa. Ada juga opsi untuk menentukan titik injeksi sendiri lewat penanda FUZZ, baik pada query maupun header.
dalfox scan http://example.com -b https://callback
cat urls.txt | dalfox scan --headers "AuthToken: xxx"
dalfox scan 'https://example.com/?q=FUZZ&page=1' --inject-marker FUZZ
Pemasangan Dalfox tersedia lewat Homebrew, Snapcraft, AUR Arch Linux, Chocolatey, dan Nix. Binari siap pakai, termasuk varian musl yang ditautkan secara statis untuk Linux, juga tersedia di halaman GitHub Releases. Untuk langkah pemasangan dan contoh pemakaian yang lebih lengkap, sebaiknya mengikuti panduan di dokumentasi resminya.
- Dokumentasi: dalfox.hahwul.com
- Referensi CLI: dalfox.hahwul.com/reference/cli
- Quick start: dalfox.hahwul.com/getting-started/quick-start
Cocok untuk Siapa?
Dalfox cocok untuk pentester dan bug hunter yang membutuhkan alat pengintaian berbasis baris perintah yang cepat dan bisa disambungkan ke alur kerja mereka. Tim keamanan juga bisa memanfaatkannya karena keluaran SARIF bisa masuk ke GitHub Advanced Security atau dasbor SAST lainnya. Bagi pengembang, tersedianya REST API dan server MCP memungkinkan pemindaian dijalankan dari alur CI/CD maupun agen AI tanpa berpindah alat.
Hal yang Perlu Diperhatikan
Dalfox adalah alat untuk pengujian keamanan. Penggunaannya harus terbatas pada sistem yang memang Anda miliki atau yang Anda punya izin untuk mengujinya. Pemindaian tanpa izin terhadap sistem milik orang lain bisa melanggar hukum.
Versi 3 yang berbasis Rust berbeda cukup jauh dari versi 2 yang berbasis Go. Bagi yang sebelumnya memakai versi 2, tersedia panduan migrasi tersendiri, dan kebijakan dukungannya dijelaskan di berkas SECURITY.md pada repositori.
Repositori: https://github.com/hahwul/dalfox
Kalau pekerjaan Anda mencakup pengujian keamanan web dan sering berurusan dengan XSS, Dalfox bisa menghemat waktu di tahap pencarian awal. Dokumentasi lengkap dan contoh pemakaiannya tersedia di repositori resminya.