blindxss-lite

Un collecteur et serveur de payloads Blind XSS (Cross-Site Scripting) léger, construit avec Flask. Il sert un payload JavaScript qui capture les données du navigateur de la victime (cookies, localStorage, extraits du DOM, etc.) et les transmet à un tableau de bord adossé à SQLite, protégé par HTTP Basic Auth.

Fonctionnalités

• Distribution du payload — /p.js sert un payload JS autonome utilisant sendBeacon ou fetch
• Points de terminaison du collecteur — POST /c (JSON/FormData) et GET /c.gif (balise pixel compatible CSP)
• Tableau de bord d'administration — /events liste les événements capturés, /events/<id>/view affiche les détails complets
• Générateur de payloads — /payloads propose 14 variantes de payloads XSS ainsi qu'un éditeur JS personnalisé
• HTTP Basic Auth — routes d'administration protégées par ADMIN_USER / ADMIN_PASSWORD
• Persistance SQLite — base de données créée automatiquement au premier lancement ; la suppression de bxss.db la reconstruit à neuf
• Prêt pour Docker — Dockerfile et docker-compose.yml inclus
• Limitation de débit — limiteur à fenêtre glissante adossé à SQLite pour les points de terminaison du collecteur (partagé entre les workers)

Démarrage rapide

Docker Compose

# Set credentials
echo "ADMIN_USER=admin" > .env
echo "ADMIN_PASSWORD=your-admin-password" >> .env

# Build and run
docker compose up -d --build

Tableau de bord : http://127.0.0.1:8089/events (le navigateur demandera une authentification Basic)

Sans Docker

pip install -r requirements.txt
export ADMIN_USER="admin"
export ADMIN_PASSWORD="your-admin-password"
gunicorn -b 127.0.0.1:8080 --workers 2 --threads 4 wsgi:app

Utilisation

1. Rendez-vous sur /payloads (après authentification) pour copier une charge utile XSS.
2. Injectez la charge utile dans un champ de saisie cible suspecté de Blind XSS.
3. Lorsqu'une victime charge la page, la charge utile s'exécute et envoie ses données à votre serveur.
4. Consultez les événements capturés sur /events.

Points de terminaison

Collecteur (public, sans authentification)

Méthode	Chemin	Description
GET	/p.js	JavaScript de la charge utile XSS
POST	/c	Reçoit du JSON/FormData depuis la charge utile
GET	/c.gif	Balise pixel (compatible CSP)

Admin (HTTP Basic Auth)

Méthode	Chemin	Description
GET	/events	Les 500 derniers événements
GET	/events/<id>	Détail de l'événement au format JSON
GET	/events/<id>/view	Détail de l'événement au format HTML
GET/POST	/payloads	Générateur de charges utiles + éditeur JS personnalisé

Utilitaire

Méthode	Chemin	Description
GET	/_healthz	Vérification de l'état

Configuration

Variable	Valeur par défaut	Description
ADMIN_USER	admin	Nom d'utilisateur du tableau de bord
ADMIN_PASSWORD	(requis)	Mot de passe du tableau de bord — le démarrage échoue s'il n'est pas défini
DB_PATH	./bxss.db	Chemin de la base de données SQLite
PUBLIC_URL	(vide)	URL de base publique pour les charges utiles générées (à utiliser derrière un tunnel/proxy inverse ; revient à l'hôte de la requête par défaut)
TRUST_PROXY	(vide)	Définir à 1 pour faire confiance à X-Forwarded-For/CF-Connecting-IP pour l'IP du client (uniquement derrière un proxy inverse de confiance ; requis dans ce cas, sinon tous les clients partagent l'IP du proxy pour la limitation de débit)
MAX_BODY	524288	Taille maximale du corps du collecteur (octets)
RATE_LIMIT_COUNT	60	Nombre maximal de requêtes du collecteur par fenêtre (par IP)
RATE_LIMIT_WINDOW	60	Fenêtre de limitation de débit en secondes
LOG_LEVEL	INFO	Niveau de journalisation Python

Le JS personnalisé est édité et stocké via la page d'administration /payloads (persisté dans la table settings de SQLite) et ajouté à /p.js. Il n'est plus lu depuis un fichier.

Structure du projet

blindxss-lite/
├── wsgi.py              # WSGI entry point
├── requirements.txt     # Python dependencies
├── Dockerfile           # Container image
├── docker-compose.yml   # Compose config
├── .env                 # Credentials (don't commit)
└── app/
    ├── __init__.py      # App factory, CORS, health check
    ├── config.py        # Config + .env loader
    ├── db.py            # SQLite layer
    ├── collectors.py    # /p.js, /c, /c.gif
    ├── events.py        # /events admin
    ├── payloads.py      # /payloads admin
    ├── utils.py         # Helpers + Basic Auth decorator
    ├── static/
    │   └── style.css
    └── templates/
        ├── events.html
        ├── event.html
        └── payloads.html

Données de charge utile collectées

• Titre et URL du document
• Origine et référent
• document.cookie
• User agent
• localStorage et sessionStorage (toutes les clés)
• Extrait du DOM (premiers 200 Ko, compressés en zlib+base64)

Démonstration

Charges utiles :

Résultat :

Détail du résultat :

Notes de sécurité

• Les routes d'administration nécessitent une authentification HTTP Basic. Utilisez un mot de passe fort en production.
• Les points de terminaison du collecteur sont volontairement non authentifiés.
• Toutes les origines sont autorisées pour CORS afin que les charges utiles puissent envoyer des données depuis n'importe quel site.
• La limitation de débit basée sur SQLite aide à atténuer les abus du collecteur et est partagée entre les workers.
• Le fichier .env ne doit jamais être commité dans le contrôle de version.