使用Fiddler的X5S插件查找XSS漏洞

OWASP top 10的安全威胁中的CrossSite Scripting（跨站脚本攻击），允许攻击者通过浏览器往网站注入恶意脚本。这种漏洞经常出现在web应用中需要用户输入的地方，如果网站有XSS漏 洞，攻击者就可以通过这种漏洞向浏览网站的用户发送恶意脚本，同时也可以利用该漏洞偷取sessionid，用来劫持用户帐户的会话。

所以网站开发者必须针对这种攻击进行适当的测试，必须过滤网站的每个输入及输出。为了使漏洞检测更容易，也可以使用各种扫描器，有很多自动或手动工 具可以帮我们查找这些漏洞。X5S就是一款用来测试XSS漏洞的工具，它是Fiddler的一个插件，是一个WebDebugging Proxy。

X5S是专门帮助渗透测试人员查找网站的XSS漏洞的。这里需要先说明的是，该工具不是自动化工具，只是列出哪里可能存在XSS漏洞，所以要使用该 工具，读者需要了解XSS，知道什么样的编码可能导致产生XSS漏洞。该工具只针对有经验的渗透测试人员，因为他们知道如何利用编码漏洞插入恶意脚本。

在本文中，我们可以看到如何使用包含x5s插件的Fiddler，以及如何找到网站中的漏洞。

Fiddler：Fiddler是一款流行的Webdebugging proxy工具，可以监视与记录用户PC与网站之间的流量，即可以通过log文件审查流量，也可以调试基于Java和.NET的HTTP相关的应用程序。当然，Fiddler对所有用户免费。

Fiddler也支持与浏览器相结合，使其更易使用。支持的浏览器包括IE、GoogleChrome、Safari、MozillaFirefox、Opera等。

图1Fiddler截图显示了左侧的流量日志

读者可以从这里下载Fiddler。在Fiddler中，可以找到许多标签，用来分析流量与包的行为。本文不涉及如何分析流量的知识，主要是演示得用X5S挖掘XSS漏洞。

X5S：X5S是Fiddler中的一个插件࿰