blindxss-lite

أداة خفيفة لجمع Blind XSS (Cross-Site Scripting) وخادم حمولات مبني باستخدام Flask. يقدّم حمولة JavaScript تلتقط بيانات متصفح الضحية (ملفات تعريف الارتباط، localStorage، مقتطفات DOM، إلخ) وتمرّرها إلى لوحة تحكم مدعومة بـ SQLite ومحمية بـ HTTP Basic Auth.

الميزات

• توصيل الحمولة — يقدّم /p.js حمولة JS مكتفية ذاتيًا باستخدام sendBeacon أو fetch
• نقاط نهاية الجمع — POST /c (JSON/FormData) و GET /c.gif (منارة بكسل متوافقة مع CSP)
• لوحة تحكم المسؤول — يسرد /events الأحداث الملتقطة، ويعرض /events/<id>/view التفاصيل الكاملة
• مولّد الحمولات — يوفّر /payloads 14 نسخة من حمولات XSS بالإضافة إلى محرر JS مخصص
• HTTP Basic Auth — مسارات المسؤول محمية بواسطة ADMIN_USER / ADMIN_PASSWORD
• استمرارية SQLite — تُنشأ قاعدة البيانات تلقائيًا عند أول تشغيل؛ حذف bxss.db يعيد بناءها من جديد
• جاهز لـ Docker — يتضمن Dockerfile و docker-compose.yml
• تحديد المعدل — محدّد نافذة منزلقة مدعوم بـ SQLite لنقاط نهاية الجمع (مشترك بين العمال)

البدء السريع

Docker Compose

# Set credentials
echo "ADMIN_USER=admin" > .env
echo "ADMIN_PASSWORD=your-admin-password" >> .env

# Build and run
docker compose up -d --build

لوحة التحكم: http://127.0.0.1:8089/events (سيطلب المتصفح Basic Auth)

بدون Docker

pip install -r requirements.txt
export ADMIN_USER="admin"
export ADMIN_PASSWORD="your-admin-password"
gunicorn -b 127.0.0.1:8080 --workers 2 --threads 4 wsgi:app

الاستخدام

1. قم بزيارة /payloads (بعد المصادقة) لنسخ حمولة XSS.
2. حقن الحمولة في حقل إدخال مستهدف يُشتبه في وجود Blind XSS فيه.
3. عندما يحمّل الضحية الصفحة، تعمل الحمولة وترسل بياناته إلى خادمك.
4. اعرض الأحداث الملتقطة على /events.

نقاط النهاية

الجمع (عام، بدون مصادقة)

Method	Path	Description
GET	/p.js	XSS payload JavaScript
POST	/c	Receives JSON/FormData from payload
GET	/c.gif	Pixel beacon (CSP-friendly)

المسؤول (HTTP Basic Auth)

Method	Path	Description
GET	/events	Last 500 events
GET	/events/<id>	Event detail as JSON
GET	/events/<id>/view	Event detail as HTML
GET/POST	/payloads	Payload generator + custom JS editor

أدوات مساعدة

Method	Path	Description
GET	/_healthz	Health check

الإعدادات

Variable	Default	Description
ADMIN_USER	admin	Dashboard username
ADMIN_PASSWORD	changeme	Dashboard password
DB_PATH	./bxss.db	SQLite database path
MAX_BODY	524288	Max collector body size (bytes)
RATE_LIMIT_COUNT	60	Max collector requests per window (per IP)
RATE_LIMIT_WINDOW	60	Rate limit window in seconds
LOG_LEVEL	INFO	Python logging level

يتم تحرير JS المخصص وتخزينه عبر صفحة المسؤول /payloads (يُحفظ في جدول settings في SQLite) ويُضاف إلى /p.js. لم يعد يُقرأ من ملف.

هيكل المشروع

blindxss-lite/
├── wsgi.py              # WSGI entry point
├── requirements.txt     # Python dependencies
├── Dockerfile           # Container image
├── docker-compose.yml   # Compose config
├── .env                 # Credentials (don't commit)
└── app/
    ├── __init__.py      # App factory, CORS, health check
    ├── config.py        # Config + .env loader
    ├── db.py            # SQLite layer
    ├── collectors.py    # /p.js, /c, /c.gif
    ├── events.py        # /events admin
    ├── payloads.py      # /payloads admin
    ├── utils.py         # Helpers + Basic Auth decorator
    ├── static/
    │   └── style.css
    └── templates/
        ├── events.html
        ├── event.html
        └── payloads.html

بيانات الحمولة التي يتم جمعها

• عنوان المستند وعنوان URL
• الأصل (Origin) والمُحيل (Referrer)
• document.cookie
• وكيل المستخدم (User agent)
• localStorage و sessionStorage (جميع المفاتيح)
• مقتطف DOM (أول 200KB، مضغوط بـ zlib+base64)

عرض توضيحي

الحمولات:

النتيجة:

تفاصيل النتيجة:

ملاحظات أمنية

• تتطلب مسارات المسؤول HTTP Basic Auth. استخدم كلمة مرور قوية في بيئة الإنتاج.
• نقاط نهاية الجمع غير مصادق عليها عن قصد.
• يُسمح لجميع الأصول (Origins) بـ CORS حتى تتمكن الحمولات من إرسال البيانات من أي موقع.
• يساعد تحديد المعدل المدعوم بـ SQLite في التخفيف من إساءة استخدام الجمع وهو مشترك بين العمال.
• يجب عدم إيداع .env في نظام التحكم بالإصدارات أبدًا.