GitHub GitHub top language

XSS_scope

超越弹窗

XSScope 是最先进的 XSS 客户端攻击 GUI 框架之一。它可以实时执行不同的 XSS 攻击和 HTML 注入。

功能特性

执行 XSS 僵尸网络攻击。每个受 XSS 载荷影响的受害者（在 Web 服务器上）将持续绑定载荷并等待攻击者的命令。绑定载荷是指等待其控制器连接的载荷。
通过 XSS 僵尸网络实现 HTTP 洪水（DDoS）
同时生成 TCP 端口转发和本地 PHP 服务器
用于漏洞挖掘（存储型、反射型、DOM 型 XSS）的自动载荷生成器
生成本地 HTTP 服务器

间谍功能

摄像头劫持
获取受害者在该易受攻击网站中保存的凭据
收集受害者信息（浏览器、版本、操作系统、用户代理、Cookie（如有）、是否启用 Java、在线状态、使用的语言、是否启用 Cookie）
键盘记录器
截取受害者浏览器屏幕截图
获取受害者实时位置
执行 .NET Shellcode 命令
强制下载恶意文件

HTML 代码注入

使用预生成的 HTML 代码（如 Amazon、Google、Line、LinkedIn、Steam、Twitch、Verizon、WiFi（会话过期））在 2 次点击内生成钓鱼网站
使用 HTML 模板在 2 次点击内生成网站篡改
从外部文件导入 HTML 文件
添加你自己的 HTML 代码

任意 JavaScript 代码执行

一旦在你的监听器中打开 Shell，即可在受害者浏览器中执行 JavaScript 代码

趣味模块：

更改网站中的所有链接
更改网站中的所有图片
点击劫持（用户点击网站某处时重定向到另一个 URI）

安装

将 Github 仓库克隆到你的本地机器：
git clone https://github.com/kleiton0x00/XSScope.git
cd XSScope
注意： 如果你使用的是 Linux/MacOS，则不需要 Zipfile 库。忽略错误。
在终端中运行 setup.sh：
chmod +x setup.sh
./setup.sh
注意： 如果 setup.sh 脚本要求 Ngrok Authtoken，你需要在此处创建一个账户并获取 Authtoken。
现在你可以运行软件了，执行：
python3 xsscope.py

更详细的安装手册请参考 Wiki

流程图

xsscope_flowchart

常见问题

请参考 Wiki 获取更高级的技巧。

演示

演示请访问 Wiki/Demo

图库

XSScope 实战

XSScope 主界面。

XSScope_in_action1

创建 Agent 模块。

XSScope_in_action2

生成的 XSS 载荷

XSScope_in_action3

使用 HTML 注入生成高级钓鱼网站

XSScope_in_action4

在受害者浏览器中执行 RCE

XSScope_RCE

法律声明：

在未事先获得双方同意的情况下使用 XSScope 攻击目标是违法的。最终用户有责任遵守所有适用的地方、州和联邦法律。开发者不承担任何责任，也不对因使用本程序造成的任何误用或损害负责。仅用于教育目的。

贡献、致谢与许可

贡献方式

建议新功能
报告 Bug
修复问题并提交拉取请求
传播本工具

根据 GNU GPLv3 许可，更多信息请参见 LICENSE。

XSScope

最受欢迎