XSS Scanner

Cross-Site Scripting (XSS) es una de las vulnerabilidades de aplicaciones web más conocidas. Incluso tiene un capítulo dedicado en el proyecto OWASP Top 10 y es una vulnerabilidad muy buscada en programas de bug bounty.

El escáner recibe un enlace del usuario y analiza el sitio web en busca de vulnerabilidades XSS mediante la inyección de scripts maliciosos en el campo de entrada. La inyección ocurre en un navegador sin interfaz gráfica llamado Chromium y controlado por la automatización de Puppeteer.

Funciona en dos pasos:

1. Encontrar el objetivo: En este primer paso, la herramienta intenta identificar todos los lugares en la página, incluidos los parámetros inyectables en formularios, URLs, encabezados, etc.
2. Probar XSS: Por cada lugar descubierto en el paso anterior, el escáner intentará detectar si los parámetros son vulnerables a Cross-Site Scripting. La herramienta inyecta un fragmento de código JavaScript, incluyendo algunos caracteres HTML especiales (>, <, ", ') e intentará ver si se devuelven en la página de respuesta sin saneamiento. Si la herramienta detecta al menos una vulnerabilidad, devolverá que el sitio web tiene vulnerabilidad XSS.

Tecnologías

• Puppeteer
• Javascript
• NodeJS
• Express

Cómo instalar

Clona el repositorio:

git clone https://github.com/MariaGarber/XSS-Scanner.git

Entra en la carpeta clonada:

cd XSS-Scanner

Instala las dependencias:

npm install

Ejecuta la aplicación:

npm start

Abre el navegador en http://localhost:4000/