XSS 스캐너

크로스 사이트 스크립팅(XSS)은 가장 잘 알려진 웹 애플리케이션 취약점 중 하나입니다. OWASP Top 10 프로젝트에서 전용 장(chapter)이 있을 정도이며, 버그 바운티 프로그램에서 매우 인기 있는 취약점입니다.

이 스캐너는 사용자로부터 링크를 입력받아 웹사이트의 입력란에 악성 스크립트를 주입하여 XSS 취약점을 스캔합니다. 스크립트 주입은 Chromium이라는 헤드리스 브라우저에서 이루어지며, Puppeteer 자동화로 제어됩니다.

두 단계로 작동합니다:

1. 대상 찾기: 첫 번째 단계에서 도구는 페이지 내 모든 입력 가능한 위치(forms, URLs, headers 등 포함)를 식별합니다.
2. XSS 테스트: 이전 단계에서 발견된 각 위치에 대해 스캐너는 해당 매개변수가 XSS에 취약한지 탐지합니다. 이 도구는 일부 특수 HTML 문자(>, <, ", ')를 포함한 JavaScript 코드 조각을 주입하고, 이들이 응답 페이지에 이스케이프 처리 없이 반환되는지 확인합니다. 도구가 하나 이상의 취약점을 감지하면 해당 웹사이트에 XSS 취약점이 있다고 반환합니다.

기술

• Puppeteer
• Javascript
• NodeJS
• Express

설치 방법

리포지토리 클론:

git clone https://github.com/MariaGarber/XSS-Scanner.git

클론한 폴더로 이동:

cd XSS-Scanner

의존성 설치:

npm install

애플리케이션 실행:

npm start

브라우저에서 http://localhost:4000/ 열기