xsser - Cross Site «Scripter» (он же XSSer) — это автоматическая платформа для обнаружения, эксплуатации и сообщения о XSS-уязвимостях в веб-приложениях. Он предоставляет несколько вариантов, позволяющих попытаться обойти определенные фильтры и различные специальные методы внедрения кода.
XSSer имеет предустановленные вектора атаки/фаззинга XSS и может обходить-эксплуатировать код в нескольких браузерах/WAF:
⏺️[PHPIDS]: PHP-IDS
⏺️[Imperva]: Imperva Incapsula WAF
⏺️[WebKnight]: WebKnight WAF
⏺️[F5]: F5 Big IP WAF
⏺️[Barracuda]: Barracuda WAF
⏺️[ModSec]: Mod-Security
⏺️[QuickDF]: QuickDefense
⏺️[Sucuri]: SucuriWAF
⏺️[Chrome]: Google Chrome
⏺️[IE]: Internet Explorer
⏺️[FF]: движок рендеринга Mozilla Gecko, используемый Firefox/Iceweasel
⏺️[NS-IE]: Netscape в режиме движка рендеринга IE
⏺️[NS-G]: Netscape в режиме движка рендеринга Gecko
⏺️[Opera]: Браузер Opera
📌Установка и запуск:
git clone https://github.com/epsylon/xsser
pip3 install cairocffi
pip3 install pygeoip
./xsser -h
💡Если при установке у вас выскакивает ошибка "error: externally-managed-environment", не забывайте указывать ключ —break-system-packages
📎Примеры:
Ключём
-u мы задаём цель, а ключ -g происходит от слова GET, так что это то, что будет в GET.Здесь аналогично с утилитой FUFF, нужно подставить ключевое слово туда, где будет осуществляться перебор.
./xsser -u 'http://localhost/' -g '?{PARAM}=XSS'У утилиты также имеется gui интерфейс, вызвать его можно этой командой:
./xsser --gtk