xssless

Un generador automatizado de payloads XSS escrito en Python.

Uso

1. Registra las solicitudes con Burp proxy
2. Selecciona las solicitudes que quieras generar, luego haz clic derecho y selecciona "Save items"
3. Usa xssless para generar tu payload: ./xssless.py burp_export_file
4. Pwn!

Puedes encontrar un tutorial más detallado aquí

Características

• Generación automatizada de payloads XSS a partir de solicitudes de proxy Burp importadas
• Los payloads son 100 % asíncronos y no congelarán el navegador del usuario
• Los payloads están optimizados, pero deberían minimizarse con una herramienta de terceros
• Los tokens CSRF se pueden extraer y configurar fácilmente mediante la opción -p
• Se admite POST multipart, junto con la carga de archivos XSS mediante la opción -f
• Los payloads son dinámicos y portátiles (gracias a las URLs relativas)
• Ahora se admite la autopropagación, lo que significa que puedes establecer un valor POST al propio payload
• ¡Gusanos JavaScript increíbles sin complicaciones!

Próximamente

• ¿Sugerencias?

Instalación

Descarga la última versión de xssless:

git clone https://github.com/mandatoryprogrammer/xssless

Ejecuta el script:

./xssless.py -h

Ejemplo de payload

Este es un ejemplo de salida de payload XSS (sin comprimir) que analiza tokens CSRF y sube un binario, ¡todo mediante XSS!

Ejemplo de uso desde la línea de comandos: `./xssless.py -s -f=example_file_list.txt -p=example_csrf_token_list.txt file_upload````html