xsser和XSStrike

時間 2020-09-25

標籤 xsser xsstrike 简体版

原文原文鏈接

0x01 xsser

xsser是一款用於針對Web應用程序自動化挖掘、利用、報告xss漏洞的框架。kali默認安裝。php

命令行啓動：xsserhtml

圖形化界面啓動：xsser --gtkpython

幫助信息：xsser -h或xsser --helpgit

0x02 XSStrike

1.簡介github

XSStrike是一款檢測Cross Site Scripting的高級檢測工具。它集成了payload生成器、爬蟲和模糊引擎功能。XSStrike不是像其餘工具那樣注入有效負載並檢查其工做，而是經過多個解析器分析響應，而後經過與模糊引擎集成的上下文分析來保證有效負載。除此以外，XSStrike還具備爬行，模糊測試，參數發現，WAF檢測功能。它還會掃描DOM XSS漏洞。apache

項目地址：https://github.com/s0md3v/XSStrike框架

XSStrike只能夠運行在python 3.6 以上版本。xss

2.工具安裝：工具

sudo apt-get install python3-pip
git clone https://github.com/s0md3v/XSStrike.git
cd XSStrike
pip3 install -r requirements.txt
chmod +x xsstrike.py

3.查看幫助信息：測試

./xsstrike.py -h或者./xsstrike.py --help

4.這裏作一個簡單的實驗，寫一個xss.php放入/var/www/html目錄下，並啓動apache2(service apache2 start)：

<html>
<?php
    $n = $_GET['payload'];
    echo $n;
?>
</html>

使用XSStrike工具進行探測：

輸入y會繼續探測，輸入n會中止探測，再將payload插入url便可。

5.測試方法：

測試一個GET型頁面：

./xsstrike.py -u "url"

測試POST：

./xsstrike.py -u "url" --data 'payload=1'

從目標網頁開始搜尋目標並進行測試:

./xsstrike.py -u "url" --crawl
也能夠指定深度：-l （默認是2）
./xsstrike.py -u "url" --crawl -l 2

更新

./xsstrike.py --update

總的來講，XSStrike的命令參數很少，經過查看幫助信息，能夠很好的瞭解並熟悉。

相關標籤/搜索

每日一句

每一个你不满意的现在，都有一个你没有努力的曾经。