Cross Site "Scripter" (também conhecido como XSSer) é uma estrutura automática para detectar, explorar e relatar vulnerabilidades XSS em aplicativos baseados na web.
Ele fornece várias opções para tentar contornar certos filtros e várias técnicas especiais para injeção de código.
----------
O XSSer tem vetores de ataque pré-instalados [> 1300 XSS] e pode ignorar o código de exploração em vários navegadores/WAFs:
- [PHPIDS]: PHP-IDS
- [Imperva]: Imperva Incapsula WAF
- [WebKnight]: WebKnight WAF
- [F5]: F5 Big IP WAF
- [Barracuda]: Barracuda WAF
- [ModSec]: Mod-Security
- [QuickDF]: QuickDefense
- [Chrome]: Google Chrome
- [IE]: Internet Explorer
- [FF]: mecanismo de renderização Gecko do Mozilla, usado pelo Firefox/Iceweasel
- [NS-IE]: Netscape no modo de mecanismo de renderização do IE
- [NS-G]: Netscape no modo de mecanismo de renderização Gecko
- [Ópera]: Ópera
Versão Atual:
Download:
Instantâneo (.tar.gz): XSSer v1.8-1.tar.gz | Torrent (.tar.gz): XSSer v1.8-1.tar.gz.torrent
wget https://xsser.03c8.net/xsser/xsser_1.8-1.tar.gz
tar xf xsser_1.8-1.tar.gz
cd xsser
sudo python setup.py install
./xsser -h
./xsser - -gtk (para gui)
Instantâneo (.zip): XSSer v1.8-1.zip | Torrent (.zip): XSSer v1.8-1.zip.torrent
TODOS: MD5/somas de verificação
Capturas:
Esquema de geração de URL/Hash
Documentação:
2012 na RootedCon | [ Slides: "XSSer - A estrutura Cross Site Scripting": espanhol ] - [ Vídeo: espanhol ]
2011 no THSF'11 | [ Slides: "XSSer - O Mosquito": Português ]
2009 no Ciberespaço | [ Artigo: "XSS para diversão e lucro": Inglês | espanhol ]
Instalação:
O XSSer é executado em várias plataformas. Requer Python e as seguintes bibliotecas:
python-pycurl - Ligações Python para libcurl
python-xmlbuilder - cria arquivos xml/(x)html - Python 2.x
python-beautifulsoup - analisador de HTML tolerante a erros para Python
python-geoip - Ligações Python para a biblioteca resolvedora IP-to-país GeoIP
Em sistemas baseados em Debian (ex: Ubuntu), execute:
sudo apt-get install python-pycurl python-xmlbuilder python-beautifulsoup python-geoip