blindxss-lite

Легковесный сборщик Blind XSS (межсайтового скриптинга) и сервер полезных нагрузок, построенный на Flask. Он отдаёт JavaScript-полезную нагрузку, которая собирает данные браузера жертвы (cookies, localStorage, фрагменты DOM и т. д.) и пересылает их в панель управления на базе SQLite, защищённую HTTP Basic Auth.

Возможности

• Доставка полезной нагрузки — /p.js отдаёт самодостаточную JS-полезную нагрузку, использующую sendBeacon или fetch
• Эндпоинты сборщика — POST /c (JSON/FormData) и GET /c.gif (пиксельный маячок, дружественный к CSP)
• Панель администратора — /events перечисляет собранные события, /events/<id>/view показывает полные детали
• Генератор полезных нагрузок — /payloads предлагает 14 вариантов XSS-полезных нагрузок плюс редактор пользовательского JS
• HTTP Basic Auth — маршруты администратора защищены ADMIN_USER / ADMIN_PASSWORD
• Хранение в SQLite — база данных создаётся автоматически при первом запуске; удаление bxss.db пересоздаёт её с нуля
• Готовность к Docker — включены Dockerfile и docker-compose.yml
• Ограничение частоты запросов — ограничитель со скользящим окном на базе SQLite для эндпоинтов сборщика (общий для всех воркеров)

Быстрый старт

Docker Compose

# Set credentials
echo "ADMIN_USER=admin" > .env
echo "ADMIN_PASSWORD=your-admin-password" >> .env

# Build and run
docker compose up -d --build

Панель управления: http://127.0.0.1:8089/events (браузер запросит Basic Auth)

Без Docker

pip install -r requirements.txt
export ADMIN_USER="admin"
export ADMIN_PASSWORD="your-admin-password"
gunicorn -b 127.0.0.1:8080 --workers 2 --threads 4 wsgi:app

Использование

1. Перейдите на /payloads (после аутентификации), чтобы скопировать XSS-пейлоад.
2. Внедрите пейлоад в целевое поле ввода, подозреваемое в Blind XSS.
3. Когда жертва загружает страницу, пейлоад выполняется и отправляет её данные на ваш сервер.
4. Просматривайте перехваченные события на /events.

Эндпоинты

Коллектор (публичный, без аутентификации)

Метод	Путь	Описание
GET	/p.js	JavaScript XSS-пейлоада
POST	/c	Принимает JSON/FormData от пейлоада
GET	/c.gif	Пиксельный маяк (совместим с CSP)

Админ (HTTP Basic Auth)

Метод	Путь	Описание
GET	/events	Последние 500 событий
GET	/events/<id>	Детали события в формате JSON
GET	/events/<id>/view	Детали события в формате HTML
GET/POST	/payloads	Генератор пейлоадов + редактор пользовательского JS

Служебные

Метод	Путь	Описание
GET	/_healthz	Проверка работоспособности

Конфигурация

Переменная	По умолчанию	Описание
ADMIN_USER	admin	Имя пользователя панели управления
ADMIN_PASSWORD	(обязательно)	Пароль панели управления — запуск завершается ошибкой, если не задан
DB_PATH	./bxss.db	Путь к базе данных SQLite
PUBLIC_URL	(пусто)	Публичный базовый URL для генерируемых пейлоадов (используйте при работе за туннелем/обратным прокси; иначе используется хост запроса)
TRUST_PROXY	(пусто)	Установите 1, чтобы доверять X-Forwarded-For/CF-Connecting-IP для IP клиента (только при работе за доверенным обратным прокси; там это обязательно, иначе все клиенты будут иметь IP прокси для ограничения частоты запросов)
MAX_BODY	524288	Максимальный размер тела запроса коллектора (байты)
RATE_LIMIT_COUNT	60	Максимальное количество запросов к коллектору за окно (на IP)
RATE_LIMIT_WINDOW	60	Окно ограничения частоты запросов в секундах
LOG_LEVEL	INFO	Уровень логирования Python

Пользовательский JS редактируется и хранится через админ-страницу /payloads (сохраняется в таблице settings SQLite) и добавляется к /p.js. Он больше не читается из файла.

Структура проекта

blindxss-lite/
├── wsgi.py              # WSGI entry point
├── requirements.txt     # Python dependencies
├── Dockerfile           # Container image
├── docker-compose.yml   # Compose config
├── .env                 # Credentials (don't commit)
└── app/
    ├── __init__.py      # App factory, CORS, health check
    ├── config.py        # Config + .env loader
    ├── db.py            # SQLite layer
    ├── collectors.py    # /p.js, /c, /c.gif
    ├── events.py        # /events admin
    ├── payloads.py      # /payloads admin
    ├── utils.py         # Helpers + Basic Auth decorator
    ├── static/
    │   └── style.css
    └── templates/
        ├── events.html
        ├── event.html
        └── payloads.html

Собираемые данные полезной нагрузки

• Заголовок и URL документа
• Origin и referrer
• document.cookie
• User agent
• localStorage и sessionStorage (все ключи)
• Фрагмент DOM (первые 200 КБ, сжатие zlib+base64)

Демонстрация

Полезные нагрузки:

Результат:

Детализация результата:

Примечания по безопасности

• Маршруты администратора требуют HTTP Basic Auth. В продакшене используйте надёжный пароль.
• Конечные точки сборщика намеренно оставлены без аутентификации.
• Для CORS разрешены все источники, чтобы полезные нагрузки могли отправлять данные с любого сайта.
• Ограничение частоты запросов на базе SQLite помогает снизить злоупотребление сборщиком и является общим для всех воркеров.
• .env никогда не должен попадать в систему контроля версий.