xssless

Um gerador automatizado de payloads XSS escrito em python.

Uso

1. Grave a(s) requisição(ões) com o proxy Burp
2. Selecione a(s) requisição(ões) que deseja gerar, clique com o botão direito e selecione "Salvar itens"
3. Use o xssless para gerar seu payload: ./xssless.py burp_export_file
4. Pwn!

Um tutorial mais detalhado pode ser encontrado aqui

Recursos

• Geração automatizada de payloads XSS a partir de requisições importadas do proxy Burp
• Os payloads são 100% assíncronos e não congelarão o navegador do usuário
• Os payloads são otimizados, mas devem ser minificados por uma ferramenta de terceiros
• Os tokens CSRF podem ser facilmente extraídos e definidos via a opção -p
• POST multipart é suportado, assim como o upload de arquivos XSS via a opção -f
• Os payloads são dinâmicos e portáveis (devido às URLs relativas)
• A autopropagação agora é suportada - ou seja, você pode definir um valor POST para o próprio payload!
• Vermes JavaScript insanos sem complicações!

Em breve

• Sugestões?

Instalação

Baixe o xssless mais recente:

git clone https://github.com/mandatoryprogrammer/xssless

Execute o script:

./xssless.py -h

Exemplo de Payload

Este é um exemplo de saída de payload XSS (não compactado) que analisa tokens CSRF e envia um binário tudo via XSS!

Exemplo de uso pela linha de comando: `./xssless.py -s -f=example_file_list.txt -p=example_csrf_token_list.txt file_upload````html