xssless

Автоматический генератор XSS-полезной нагрузки, написанный на Python.

Использование

1. Запишите запрос(ы) с помощью Burp proxy
2. Выберите запрос(ы), для которых хотите сгенерировать полезную нагрузку, щелкните правой кнопкой мыши и выберите «Save items»
3. Используйте xssless для генерации полезной нагрузки: ./xssless.py burp_export_file
4. Pwn!

Более подробное руководство можно найти здесь

Возможности

• Автоматическая генерация XSS-полезной нагрузки из импортированных запросов Burp proxy
• Полезные нагрузки на 100% асинхронны и не заморозят браузер пользователя
• Полезные нагрузки оптимизированы, но для минимизации рекомендуется использовать сторонние инструменты
• CSRF-токены можно легко извлечь и установить с помощью опции -p
• Поддерживается POST multipart, а также загрузка файлов через XSS с помощью опции -f
• Полезные нагрузки динамичны и переносимы (благодаря относительным URL)
• Теперь поддерживается самовоспроизведение — вы можете задать значение POST равным самой полезной нагрузке!
• Безумные JavaScript-черви без лишних хлопот!

В планах

• Предложения?

Установка

Загрузите последнюю версию xssless:

git clone https://github.com/mandatoryprogrammer/xssless

Запустите скрипт:

./xssless.py -h

Пример полезной нагрузки

Это пример вывода XSS-полезной нагрузки (несжатой), которая анализирует CSRF-токены и загружает бинарный файл через XSS!

Пример использования командной строки: `./xssless.py -s -f=example_file_list.txt -p=example_csrf_token_list.txt file_upload````html

Contributing
------------

Хотите внести свой код в этот проект? Отлично! Я не силён в Python или Javascript, поэтому буду благодарен за любые дополнения к проекту. Вклад также может быть в виде идей новых функций; если у вас есть идея, дайте мне знать!