xssless

Un generatore automatico di payload XSS scritto in Python.

Utilizzo

1. Registra le richieste con Burp proxy
2. Seleziona le richieste che vuoi generare, poi fai clic con il tasto destro e seleziona "Salva elementi"
3. Usa xssless per generare il tuo payload: ./xssless.py burp_export_file
4. Pwn!

Un tutorial più dettagliato può essere trovato qui

Caratteristiche

• Generazione automatica di payload XSS da richieste importate dal proxy Burp
• I payload sono 100% asincroni e non bloccano il browser dell'utente
• I payload sono ottimizzati, ma dovrebbero essere minimizzati da uno strumento di terze parti
• I token CSRF possono essere facilmente estratti e impostati tramite l'opzione -p
• POST multipart è supportato, insieme al caricamento di file XSS tramite l'opzione -f
• I payload sono dinamici e portabili (grazie agli URL relativi)
• L'auto-propagazione è ora supportata - ciò significa che puoi impostare un valore POST al payload stesso!
• Worm JavaScript pazzeschi senza problemi!

In arrivo

• Suggerimenti?

Installazione

Scarica l'ultima versione di xssless:

git clone https://github.com/mandatoryprogrammer/xssless

Esegui lo script:

./xssless.py -h

Esempio di Payload

Questo è un esempio di output di payload XSS (non compresso) che analizza i token CSRF e carica un binario tutto tramite XSS!

Esempio di utilizzo da riga di comando: `./xssless.py -s -f=example_file_list.txt -p=example_csrf_token_list.txt file_upload````html