blindxss-lite

Un colector y servidor de payloads Blind XSS (Cross-Site Scripting) ligero construido con Flask. Sirve un payload JavaScript que captura datos del navegador de la víctima (cookies, localStorage, fragmentos del DOM, etc.) y los reenvía a un panel respaldado por SQLite protegido con HTTP Basic Auth.

Características

• Entrega de payload — /p.js sirve un payload JS autocontenido usando sendBeacon o fetch
• Endpoints del colector — POST /c (JSON/FormData) y GET /c.gif (pixel beacon compatible con CSP)
• Panel de administración — /events lista los eventos capturados, /events/<id>/view muestra los detalles completos
• Generador de payloads — /payloads ofrece 14 variantes de payloads XSS más un editor de JS personalizado
• HTTP Basic Auth — rutas de administración protegidas por ADMIN_USER / ADMIN_PASSWORD
• Persistencia en SQLite — la base de datos se crea automáticamente en la primera ejecución; eliminar bxss.db la reconstruye desde cero
• Listo para Docker — incluye Dockerfile y docker-compose.yml
• Limitación de tasa — limitador de ventana deslizante respaldado por SQLite para los endpoints del colector (compartido entre workers)

Inicio Rápido

Docker Compose

# Set credentials
echo "ADMIN_USER=admin" > .env
echo "ADMIN_PASSWORD=your-admin-password" >> .env

# Build and run
docker compose up -d --build

Panel: http://127.0.0.1:8089/events (el navegador solicitará Basic Auth)

Sin Docker

pip install -r requirements.txt
export ADMIN_USER="admin"
export ADMIN_PASSWORD="your-admin-password"
gunicorn -b 127.0.0.1:8080 --workers 2 --threads 4 wsgi:app

Uso

1. Visita /payloads (tras autenticarte) para copiar un payload XSS.
2. Inyecta el payload en un campo de entrada del objetivo sospechoso de Blind XSS.
3. Cuando una víctima carga la página, el payload se ejecuta y envía sus datos a tu servidor.
4. Consulta los eventos capturados en /events.

Endpoints

Colector (público, sin autenticación)

Método	Ruta	Descripción
GET	/p.js	JavaScript del payload XSS
POST	/c	Recibe JSON/FormData del payload
GET	/c.gif	Pixel beacon (compatible con CSP)

Administración (HTTP Basic Auth)

Método	Ruta	Descripción
GET	/events	Últimos 500 eventos
GET	/events/<id>	Detalle del evento en JSON
GET	/events/<id>/view	Detalle del evento en HTML
GET/POST	/payloads	Generador de payloads + editor de JS personalizado

Utilidades

Método	Ruta	Descripción
GET	/_healthz	Comprobación de estado

Configuración

Variable	Valor por defecto	Descripción
ADMIN_USER	admin	Nombre de usuario del panel
ADMIN_PASSWORD	changeme	Contraseña del panel
DB_PATH	./bxss.db	Ruta de la base de datos SQLite
MAX_BODY	524288	Tamaño máximo del cuerpo del colector (bytes)
RATE_LIMIT_COUNT	60	Máximo de peticiones al colector por ventana (por IP)
RATE_LIMIT_WINDOW	60	Ventana de limitación de tasa en segundos
LOG_LEVEL	INFO	Nivel de logging de Python

El JS personalizado se edita y almacena a través de la página de administración /payloads (persistido en la tabla settings de SQLite) y se añade a /p.js. Ya no se lee desde un archivo.

Estructura del Proyecto

blindxss-lite/
├── wsgi.py              # WSGI entry point
├── requirements.txt     # Python dependencies
├── Dockerfile           # Container image
├── docker-compose.yml   # Compose config
├── .env                 # Credentials (don't commit)
└── app/
    ├── __init__.py      # App factory, CORS, health check
    ├── config.py        # Config + .env loader
    ├── db.py            # SQLite layer
    ├── collectors.py    # /p.js, /c, /c.gif
    ├── events.py        # /events admin
    ├── payloads.py      # /payloads admin
    ├── utils.py         # Helpers + Basic Auth decorator
    ├── static/
    │   └── style.css
    └── templates/
        ├── events.html
        ├── event.html
        └── payloads.html

Datos del Payload Recopilados

• Título y URL del documento
• Origen y referrer
• document.cookie
• User agent
• localStorage y sessionStorage (todas las claves)
• Fragmento del DOM (primeros 200KB, comprimido con zlib+base64)

Demostración

Payloads:

Resultado:

Detalle del resultado:

Notas de Seguridad

• Las rutas de administración requieren HTTP Basic Auth. Usa una contraseña fuerte en producción.
• Los endpoints del colector no están autenticados intencionalmente.
• Se permiten todos los orígenes para CORS, de modo que los payloads pueden enviar datos desde cualquier sitio.
• La limitación de tasa respaldada por SQLite ayuda a mitigar el abuso del colector y se comparte entre workers.
• .env nunca debe incluirse en el control de versiones.