blindxss-lite

Un raccoglitore Blind XSS (Cross-Site Scripting) leggero e server di payload costruito con Flask. Serve un payload JavaScript che cattura i dati del browser della vittima (cookie, localStorage, frammenti DOM, ecc.) e li inoltra a una dashboard basata su SQLite protetta da HTTP Basic Auth.

Funzionalità

• Consegna del payload — /p.js serve un payload JS autonomo usando sendBeacon o fetch
• Endpoint del raccoglitore — POST /c (JSON/FormData) e GET /c.gif (pixel beacon compatibile con CSP)
• Dashboard di amministrazione — /events elenca gli eventi catturati, /events/<id>/view mostra i dettagli completi
• Generatore di payload — /payloads offre 14 varianti di payload XSS più un editor JS personalizzato
• HTTP Basic Auth — rotte di amministrazione protette da ADMIN_USER / ADMIN_PASSWORD
• Persistenza SQLite — database creato automaticamente al primo avvio; eliminando bxss.db viene ricostruito da zero
• Pronto per Docker — Dockerfile e docker-compose.yml inclusi
• Rate limiting — limitatore a finestra scorrevole basato su SQLite per gli endpoint del raccoglitore (condiviso tra i worker)

Avvio Rapido

Docker Compose

# Set credentials
echo "ADMIN_USER=admin" > .env
echo "ADMIN_PASSWORD=your-admin-password" >> .env

# Build and run
docker compose up -d --build

Dashboard: http://127.0.0.1:8089/events (il browser richiederà le credenziali Basic Auth)

Senza Docker

pip install -r requirements.txt
export ADMIN_USER="admin"
export ADMIN_PASSWORD="your-admin-password"
gunicorn -b 127.0.0.1:8080 --workers 2 --threads 4 wsgi:app

Utilizzo

1. Visita /payloads (dopo l'autenticazione) per copiare un payload XSS.
2. Inietta il payload in un campo di input del target sospettato di Blind XSS.
3. Quando una vittima carica la pagina, il payload viene eseguito e invia i suoi dati al tuo server.
4. Visualizza gli eventi catturati su /events.

Endpoint

Collector (pubblico, senza autenticazione)

Metodo	Percorso	Descrizione
GET	/p.js	JavaScript del payload XSS
POST	/c	Riceve JSON/FormData dal payload
GET	/c.gif	Pixel beacon (compatibile con CSP)

Admin (HTTP Basic Auth)

Metodo	Percorso	Descrizione
GET	/events	Ultimi 500 eventi
GET	/events/<id>	Dettaglio evento in JSON
GET	/events/<id>/view	Dettaglio evento in HTML
GET/POST	/payloads	Generatore di payload + editor JS personalizzato

Utilità

Metodo	Percorso	Descrizione
GET	/_healthz	Controllo di stato

Configurazione

Variabile	Predefinito	Descrizione
ADMIN_USER	admin	Nome utente della dashboard
ADMIN_PASSWORD	changeme	Password della dashboard
DB_PATH	./bxss.db	Percorso del database SQLite
MAX_BODY	524288	Dimensione massima del corpo del collector (byte)
RATE_LIMIT_COUNT	60	Numero massimo di richieste al collector per finestra (per IP)
RATE_LIMIT_WINDOW	60	Finestra di rate limit in secondi
LOG_LEVEL	INFO	Livello di logging Python

Il JS personalizzato viene modificato e memorizzato tramite la pagina di amministrazione /payloads (persistito nella tabella settings di SQLite) e aggiunto a /p.js. Non viene più letto da un file.

Struttura del Progetto

blindxss-lite/
├── wsgi.py              # WSGI entry point
├── requirements.txt     # Python dependencies
├── Dockerfile           # Container image
├── docker-compose.yml   # Compose config
├── .env                 # Credentials (don't commit)
└── app/
    ├── __init__.py      # App factory, CORS, health check
    ├── config.py        # Config + .env loader
    ├── db.py            # SQLite layer
    ├── collectors.py    # /p.js, /c, /c.gif
    ├── events.py        # /events admin
    ├── payloads.py      # /payloads admin
    ├── utils.py         # Helpers + Basic Auth decorator
    ├── static/
    │   └── style.css
    └── templates/
        ├── events.html
        ├── event.html
        └── payloads.html

Dati del Payload Raccolti

• Titolo e URL del documento
• Origin e referrer
• document.cookie
• User agent
• localStorage e sessionStorage (tutte le chiavi)
• Frammento DOM (primi 200KB, compresso con zlib+base64)

Vetrina

Payload:

Risultato:

Dettaglio risultato:

Note di Sicurezza

• Le rotte di amministrazione richiedono HTTP Basic Auth. Usa una password forte in produzione.
• Gli endpoint del collector sono intenzionalmente non autenticati.
• Tutte le origini sono consentite per CORS, così i payload possono inviare dati da qualsiasi sito.
• Il rate limiting basato su SQLite aiuta a mitigare gli abusi del collector ed è condiviso tra i worker.
• .env non dovrebbe mai essere committato nel controllo di versione.