XSSYA 是一款跨站脚本扫描器与漏洞确认工具（支持两种工作方式） • 方法 1：用于确认请求与响应 • 方法 2：用于确认执行编码后的 payload，并在网页 HTML 代码中搜索同一 payload 的解码形式 • 支持 HTTPS • 确认后（执行 payload 以获取 cookies） • 可识别 3 种 WAF（Mod_Security - WebKnight - F5 BIG IP） • 可在（Windows - Linux）上运行 XSSYA 持续维护用于绕过 WAF（Web 应用防火墙）的编码 payload 库，还支持在执行 payload 之前保存网页 HTML 代码，并将网页 HTML 代码显示到屏幕或终端中 $ Python xssya.py 示例 $ Python xssya.py http://www.domain.com/ http://www.domain.com= http://www.domain.com?
• 有哪些变化？ （XSSYA v 2.0 拥有更多 payload；库中包含 41 个 payload，以提升检测水平 XSS 扫描器现已从 XSSYA 中移除，以减少误报 过去待测试的 URL 不允许在 URL 末尾出现除（/ - = -?）之外的任何字符，但现在这一限制已被移除
• XSSYA V2.0 有哪些新功能？ 自定义 Payload 1 – 你可以选择自己的自定义 Payload，例如：并且可以使用不同类型的编码对你的自定义 payload 进行编码，如（B64 – HEX – URL_Encode –- 带分号的 HEX）
（HTML 实体 à 仅单引号与双引号 - 方括号 – 与 – 或 使用 HTML 实体编码整个 payload） 此功能还将支持 XSS 漏洞确认方法，即你选择自定义 payload 和自定义编码后执行，如果响应为 200，则在 HTML 代码页面中检查同一 payload 的解码形式。
• XSSYA V2.0 有哪些新功能？ HTML5 Payload XSYSA V2.0 包含一个由 44 个 HTML5 payload 组成的库
• XSSYA V 2.0 有哪些新功能？
XSSYA 拥有一个针对最易受 XSS（跨站脚本）影响应用的库，该库包含 （Apache – WordPress – PHPmy Admin）如果你选择 apache 应用，它会给出受影响的 Apache 版本对应的 CVE 编号，以及该 CVE 的链接以获取更多详情，因此可以轻松搜索受 XSS 影响的特定版本
• XSSYA V 2.0 有哪些新功能？ XSSYA 具备将攻击者的 IP 地址转换为（Hex、Dword、Octal）的功能，以绕过目标域上可能存在的任何安全机制或 IPS
• XSSYA V 2.0 有哪些新功能？
XSSYA 会检查目标是否易受 XST（跨站跟踪）攻击，它会发送自定义 TRACE 请求 并检查目标域是否存在漏洞，请求如下所示：
TRACE / HTTP/1.0 Host: demo.testfire.net Header1: < script >alert(document.cookie);
需要下载的模块为 colorama-0.2.7 https://pypi.python.org/pypi/colorama gdshortener 0.0.2 https://pypi.python.org/pypi/gdshortener
注意：如果遇到 HTTPS 连接问题 - 只需删除（class fake_ssl）后重新测试
