xssless

Un générateur automatisé de payloads XSS écrit en python.

Utilisation

1. Enregistrez la ou les requêtes avec Burp proxy
2. Sélectionnez la ou les requêtes que vous souhaitez générer, puis faites un clic droit et sélectionnez "Save items"
3. Utilisez xssless pour générer votre payload : ./xssless.py burp_export_file
4. Pwn!

Un tutoriel plus détaillé est disponible ici

Fonctionnalités

• Génération automatisée de payloads XSS à partir de requêtes Burp proxy importées
• Les payloads sont 100% asynchrones et ne gèlent pas le navigateur de l'utilisateur
• Les payloads sont optimisés, mais devraient être minifiés par un outil tiers
• Les jetons CSRF peuvent être facilement extraits et définis via l'option -p
• Le POST multipart est supporté, ainsi que le téléchargement de fichiers XSS via l'option -f
• Les payloads sont dynamiques et portables (grâce aux URLs relatives)
• L'auto-propagation est maintenant supportée - ce qui signifie que vous pouvez définir une valeur POST sur le payload lui-même !
• Des vers JavaScript fous sans aucun tracas !

À venir

• Suggestions ?

Installation

Téléchargez la dernière version de xssless :

git clone https://github.com/mandatoryprogrammer/xssless

Exécutez le script :

./xssless.py -h

Exemple de payload

Ceci est un exemple de sortie de payload XSS (non compressé) qui parse les jetons CSRF et télécharge un binaire entièrement via XSS !

Exemple d'utilisation en ligne de commande : `./xssless.py -s -f=example_file_list.txt -p=example_csrf_token_list.txt file_upload````html