XSS Scanner

クロスサイトスクリプティング（XSS）は、最もよく知られたウェブアプリケーション脆弱性の1つです。OWASP Top 10プロジェクトでも専用の章があり、バグバウンティプログラムでも非常に追跡される脆弱性です。

このスキャナーはユーザーからリンクを受け取り、入力箇所に悪意のあるスクリプトを注入してウェブサイトのXSS脆弱性をスキャンします。注入はChromiumというヘッドレスブラウザで行われ、Puppeteer自動化によって制御されます。

2つのステップで動作します：

1. ターゲットの発見: 最初のステップでは、ツールはフォーム、URL、ヘッダーなど、ページ内のすべての入力可能パラメータを含む場所を特定しようとします。
2. XSSのテスト: 前のステップで発見された各場所に対して、スキャナーはパラメータがクロスサイトスクリプティングに対して脆弱かどうかを検出しようとします。ツールは、いくつかの特殊なHTML文字（>, <, ", '）を含むJavaScriptコードの断片を注入し、それらがサニタイズされずにレスポンスページに返されるかどうかを確認します。 ツールが少なくとも1つの脆弱性を検出した場合、ウェブサイトにXSS脆弱性があることを返します。

技術

• Puppeteer
• Javascript
• NodeJS
• Express

インストール方法

リポジトリをクローンします：

git clone https://github.com/MariaGarber/XSS-Scanner.git

クローンしたフォルダに移動します：

cd XSS-Scanner

依存関係をインストールします：

npm install

アプリケーションを実行します：

npm start

ブラウザで http://localhost:4000/ を開きます。