基于Python的XSS测试工具XSStrike使用方法

更新时间：2017年07月29日 17:30:30 作者：鸢尾

XSS（Cross Site Scripting，跨站脚本攻击）是一类特殊的Web客户端脚本注入攻击手段，通常指攻击者通过“HTML注入”篡改了网页，插入恶意的脚本，从而在用户浏览网页时控制浏览器的一种攻击。

简介

XSStrike 是一款用于探测并利用XSS漏洞的脚本

XSStrike目前所提供的产品特性：

对参数进行模糊测试之后构建合适的payload

使用payload对参数进行穷举匹配

内置爬虫功能

检测并尝试绕过WAF

同时支持GET及POST方式

大多数payload都是由作者精心构造

误报率极低

debian及kali系统可直接下载本.deb安装包

通用安装方法

使用如下命令进行下载：

git clone https://github.com/UltimateHackers/XSStrike/

完成下载之后，进入XSStrike目录：

cd XSStrike

接下来使用如下命令安装依赖模块：

pip install -r requirements.txt

完成安装，使用如下命令即可运行XSStrike：

python xsstrike

注意：本脚本仅支持Python 2.7

使用说明

这时便可以键入目标URL，但请通过插入”d3v<”以标记最重要的参数

例如：target.com/search.php?q=d3v&category=1

键入目标URL之后，XSStrike将检测该目标是否有WAF保护，如果不受WAF保护你将看到下面4个选项

1. Fuzzer: 检测输入内容是如何在网页下进行反映的，之后据此尝试构建payload

2. Striker: 对所有参数逐一进行穷举匹配，并在浏览器窗口中生成POC

3. Spider: 提取目标页面上所有存在的链接，并对这些链接进行XSS测试

4. Hulk: 使用了一种不同寻常的方式，直接无视掉输入所对应的网页内容变化。其有一个 polyglots 列表以及可靠的payload，它会逐一在目标参数中键入并在浏览器窗口中打开这些组合URL

XSStrike同样也可以绕过WAF

XSStrike 也支持 POST 方式

你也可向 XSStrike 提供 cookies

与其他使用蛮力算法的程序不同，XSStrike有着少而精的payload，其中大多数都是由作者精心构造的。

您可能感兴趣的文章:

XSStrike

python必备库Matplotlib画图神器
这篇文章主要介绍了python必备库Matplotlib画图神器，Matplotlib 是 Python 中最受欢迎的数据可视化软件包之一，支持跨平台运行，它是 Python 常用的 2D 绘图库，同时它也提供了一部分 3D 绘图接口，更多详细内容，需要的小伙伴可以参考一下下面文章具体内容
2022-03-03
Python中os模块的使用及文件对象的读写详解
这篇文章主要介绍了Python中os模块的使用及文件对象的读写详解,Python open() 方法用于打开一个文件,并创建返回文件对象,在对文件进行处理过程都需要使用到这个函数,如果该文件无法被打开,会抛出 OSError,需要的朋友可以参考下
2023-08-08
提升Python编程水平必不可少的重构技巧
在Python中,编写可读性强且Pythonic的代码是至关重要的,重构技巧是指通过调整代码结构和风格,使其更符合Python的惯例和标准,从而提高代码的可读性、简洁性和可维护性,本文将深入探讨八项重构技巧,帮助您编写更Pythonic的代码
2024-01-01
浅谈Python2获取中文文件名的编码问题
下面小编就为大家分享一篇浅谈Python2获取中文文件名的编码问题，具有很好的参考价值，希望对大家有所帮助。一起跟随小编过来看看吧
2018-01-01
django中使用memcached示例详解
这篇文章主要为大家介绍了django中使用memcached示例详解，有需要的朋友可以借鉴参考下，希望能够有所帮助，祝大家多多进步，早日升职加薪
2022-06-06
Django发送邮件功能实例详解
在本篇文章里小编给大家整理了关于Django发送邮件功能的详细内容，有需要的朋友们可以参考学习下。
2019-09-09
Java中的各种单例模式优缺点解析
这篇文章主要介绍了Java中的各种单例模式解析,单例模式是Java中最简单的设计模式之一,这种类型的设计模式属于创建者模式，它提供了一种访问对象的最佳方式,需要的朋友可以参考下
2023-07-07
python实现差分隐私Laplace机制详解
今天小编就为大家分享一篇python实现差分隐私Laplace机制详解，具有很好的参考价值，希望对大家有所帮助。一起跟随小编过来看看吧
2019-11-11
python跨文件夹调用别的文件夹下py文件或参数方式详解
这篇文章主要给大家介绍了关于python跨文件夹调用别的文件夹下py文件或参数方式的相关资料,在python中有时候我们需要调用另一.py文件中的方法或者类,需要的朋友可以参考下
2023-08-08
Pandas保存csv数据的三种方式详解
CSV文件以纯文本形式存储表格数据（数字和文本），是一种通用的、相对简单的文件格式，被用户、商业和科学广泛应用。本文介绍了三种Pandas保存CSV文件数据的方法，需要的可以参考一下
2022-03-03