xssless

pythonで書かれた自動XSSペイロードジェネレータ。

使用方法

1. Burp proxyでリクエストを記録します
2. 生成したいリクエストを選択し、右クリックして「Save items」を選択します
3. xsslessを使ってペイロードを生成します: ./xssless.py burp_export_file
4. Pwn!

より詳細なチュートリアルはこちらにあります

特徴

• インポートされたBurp proxyリクエストからの自動XSSペイロード生成
• ペイロードは100%非同期で、ユーザーのブラウザをフリーズさせません
• ペイロードは最適化されていますが、サードパーティ製ツールで最小化する必要があります
• CSRFトークンは -p オプションで簡単に抽出・設定できます
• POST multipart に加えて、-f オプションによるXSSファイルアップロードもサポートされています
• ペイロードは動的で移植性があります（相対URLを使用するため）
• 自己伝播がサポートされました - つまり、POST値をペイロード自体に設定できます！
• 手間いらずのクレイジーなJavaScriptワーム！

今後の予定

• 提案は？

インストール

最新のxsslessをダウンロード:

git clone https://github.com/mandatoryprogrammer/xssless

スクリプトを実行:

./xssless.py -h

ペイロード例

これは、CSRFトークンを解析してバイナリをアップロードするXSSペイロード出力の例です（非圧縮）。すべてXSS経由で行います！

コマンドライン使用例: `./xssless.py -s -f=example_file_list.txt -p=example_csrf_token_list.txt file_upload````html