xsser和XSStrike

时间 2020-09-25

标签 xsser xsstrike 繁體版

原文原文链接

0x01 xsser

xsser是一款用于针对Web应用程序自动化挖掘、利用、报告xss漏洞的框架。kali默认安装。php

命令行启动：xsserhtml

图形化界面启动：xsser --gtkpython

帮助信息：xsser -h或xsser --helpgit

0x02 XSStrike

1.简介github

XSStrike是一款检测Cross Site Scripting的高级检测工具。它集成了payload生成器、爬虫和模糊引擎功能。XSStrike不是像其余工具那样注入有效负载并检查其工做，而是经过多个解析器分析响应，而后经过与模糊引擎集成的上下文分析来保证有效负载。除此以外，XSStrike还具备爬行，模糊测试，参数发现，WAF检测功能。它还会扫描DOM XSS漏洞。apache

项目地址：https://github.com/s0md3v/XSStrike框架

XSStrike只能够运行在python 3.6 以上版本。xss

2.工具安装：工具

sudo apt-get install python3-pip
git clone https://github.com/s0md3v/XSStrike.git
cd XSStrike
pip3 install -r requirements.txt
chmod +x xsstrike.py

3.查看帮助信息：测试

./xsstrike.py -h或者./xsstrike.py --help

4.这里作一个简单的实验，写一个xss.php放入/var/www/html目录下，并启动apache2(service apache2 start)：

<html>
<?php
    $n = $_GET['payload'];
    echo $n;
?>
</html>

使用XSStrike工具进行探测：

输入y会继续探测，输入n会中止探测，再将payload插入url便可。

5.测试方法：

测试一个GET型页面：

./xsstrike.py -u "url"

测试POST：

./xsstrike.py -u "url" --data 'payload=1'

从目标网页开始搜寻目标并进行测试:

./xsstrike.py -u "url" --crawl
也能够指定深度：-l （默认是2）
./xsstrike.py -u "url" --crawl -l 2

更新

./xsstrike.py --update

总的来讲，XSStrike的命令参数很少，经过查看帮助信息，能够很好的了解并熟悉。