XSS Hunter Express

Se configura en 5 minutos y no requiere mantenimiento

La forma más rápida de configurar XSS Hunter para probar y encontrar vulnerabilidades de cross-site scripting ciego.

Configuración (Cinco minutos, intenta no saltarte demasiado)

Requisitos

• docker y docker-compose instalados
• Host con al menos 2 GB de RAM
• Un nombre de host (p. ej. host.example.com) que puedas asignar a la IP de tu servidor (tener control de DNS)
• [Para notificaciones por correo electrónico] Para recibir notificaciones por correo electrónico cuando se disparen payloads XSS, necesitarás una cuenta de correo con credenciales SMTP válidas. Puedes usar muchas cuentas de correo normales como Gmail para este propósito. Esto no es necesario si no quieres notificaciones por correo electrónico.

Configuración de tu instancia

Para configurar XSS Hunter Express, modifica el archivo docker-compose.yaml con tus ajustes/contraseñas/etc. apropiados.

Los siguientes son algunos campos YAML (en docker-compose.yaml) que necesitarás modificar antes de iniciar el servicio:

• HOSTNAME: Establece este campo con el nombre de host que quieras usar para tus payloads y para acceder al panel de administración web. A menudo es lo más corto posible (p. ej. xss.ht) para que el payload pueda caber en varios campos para las pruebas. Este nombre de host debe estar asignado a la dirección IP de tu instancia (mediante un registro A de DNS).
• SSL_CONTACT_EMAIL: Para configurar y renovar automáticamente los certificados TLS/SSL mediante Let's Encrypt, necesitarás proporcionar una dirección de correo electrónico.

Los siguientes son necesarios si quieres notificaciones por correo electrónico:

• SMTP_EMAIL_NOTIFICATIONS_ENABLED: Déjalo habilitado para recibir notificaciones por correo electrónico (también debes configurarlo mediante las siguientes opciones).
• SMTP_HOST: El host de tu servidor SMTP donde está alojada tu cuenta de correo (p. ej. smtp.gmail.com).
• SMTP_PORT: El puerto de tu servidor SMTP (p. ej. 465).
• SMTP_USE_TLS: Utiliza TLS si tu servidor SMTP lo soporta.
• SMTP_USERNAME: El nombre de usuario de la cuenta de correo en tu servidor SMTP (p. ej. exampleuser).
• SMTP_PASSWORD: La contraseña de la cuenta de correo en tu servidor SMTP (p. ej. Password1!).
• SMTP_FROM_EMAIL: La dirección de correo electrónico de tu cuenta en el servidor SMTP (p. ej. [email protected]).

Finalmente, lo siguiente vale la pena considerarlo para los preocupados por la seguridad:

• CONTROL_PANEL_ENABLED: Si quieres minimizar la superficie de ataque de tu instancia, puedes deshabilitar el panel de control web. Esto hace que solo recibas correos electrónicos de los disparos de payloads (los resultados se seguirán almacenando en disco y en la base de datos).

Compilar e iniciar XSS Hunter Express

Una vez que lo hayas configurado, simplemente ejecuta los siguientes comandos para poner en marcha el servicio:

# Cambia al directorio del repositorio
cd xsshunter-express/
# Inicia postgres en segundo plano
docker-compose up -d postgresdb
# Inicia el servicio
docker-compose up xsshunterexpress

Suponiendo que todo haya ido bien, verás una contraseña de administrador impresa en tu pantalla. Úsala para iniciar sesión en el panel web alojado ahora en https://tu-nombre-de-host.com/admin/.

NOTA: La primera solicitud HTTP a tu instancia será lenta debido a que el servicio generará automáticamente un certificado TLS/SSL. Esto solo debería tomar ~15 segundos.

Características

• Gestión de disparos de payloads XSS: Gestiona todos tus payloads XSS en el panel de control de tu cuenta de XSS Hunter.
• Potentes sondas XSS: La siguiente información se recopila cada vez que una sonda se dispara en una página vulnerable:
  • La URI de la página vulnerable
  • Origen de la ejecución
  • La dirección IP de la víctima
  • El referer de la página
  • El user agent de la víctima
  • Todas las cookies no HTTP-Only
  • El DOM HTML completo de la página
  • Captura de pantalla completa de la página afectada
  • Solicitud HTTP responsable (si se utiliza una herramienta de inyección compatible con XSS Hunter)
  • Hora reportada por el navegador
  • Si el payload se disparó en un iframe
• Totalmente dockerizado: ¡Modifica la configuración con tus ajustes personalizados e inícialo con un solo comando!
• Configuración y renovación automática de TLS/SSL: Solo crea los registros DNS adecuados y XSS Hunter Express utilizará automáticamente LetsEncrypt para configurar y renovar los certificados TLS/SSL apropiados.
• Imágenes de disparos de payloads comprimidas con gzip: Todas las imágenes se almacenan con compresión gzip para utilizar menos espacio en disco en tu instancia.
• Minimiza la superficie de ataque: Opcionalmente, deshabilita la interfaz web por completo para minimizar la superficie de ataque de tu instancia.
• Capturas de pantalla de página completa: Las sondas de XSS Hunter utilizan la API de canvas de HTML5 para generar una captura de pantalla completa de la página vulnerable en la que se ha disparado un payload XSS. Con esta función puedes echar un vistazo a paneles administrativos internos, mesas de soporte, sistemas de registro y otras aplicaciones web internas. Esto permite informes más potentes que muestran el impacto completo de la vulnerabilidad a tu cliente o programa de bug bounty.
• Informes por correo electrónico de disparos de payloads XSS: Los disparos de payloads XSS también envían informes detallados por correo electrónico que se pueden reenviar fácilmente a los contactos de seguridad apropiados para reportar fácilmente errores críticos.
• Generación automática de payloads: XSS Hunter genera automáticamente payloads XSS para que los uses en tus pruebas de seguridad de aplicaciones web.

Capturas de pantalla

Créditos

• El front-end está construido en Vue y utiliza el framework vue-black-dashboard. Licenciado bajo MIT (ver https://github.com/creativetimofficial/vue-black-dashboard#licensing).

Vulnerabilidades de seguridad

¿Encontraste una vulnerabilidad de seguridad en este servicio? ¡Buen trabajo! Por favor, envíame un correo a mandatory(at)gmail.com e intentaré solucionarlo lo antes posible.