xss php漏洞扫描工具,XSpear：一款强大的XSS漏洞扫描器工具

最新推荐文章于 2024-08-22 09:14:28 发布
最新推荐文章于 2024-08-22 09:14:28 发布
阅读量2.9k 收藏 6
点赞数 1
文章标签： xss php漏洞扫描工具

XSpear XSS扫描器

XSpear是一款基于RubyGems的的XSS漏洞扫描器。拥有常见的

f1be73cda42de278ba28bdc245d4e70c.pngXSS漏洞扫描器

主要特点

基于模式匹配的XSS扫描

检测alert confirm prompt无头浏览器上的事件(使用Selenium)

测试XSS保护旁路和反射参数的请求/响应

反射的参数

过滤测试 event handler HTML tag Special Char

测试盲XSS(使用XSS Hunter，ezXSS，HBXSS，等等所有网址盲测...)

动态/静态分析查找SQL错误模式

分析Security头(CSP HSTS X-frame-options，XSS-protection等..)

分析其他标题..(服务器版本，内容类型等...)

从Raw文件扫描(Burp suite，ZAP Request)

在ruby代码上运行的XSpear(使用Gem库)

显示table base cli-report和filtered rule，testing raw query(网址)

在所选参数下进行测试

支持输出格式 cli jsoncli：摘要，过滤规则(params)，Raw Query

支持详细级别(退出/正常/原始数据)

支持自定义回调代码，以测试各种攻击向量

XSpear安装

安装

$ gem install XSpear

1

$geminstallXSpear

或者本地安装特定版本

$ gem install XSpear-{version}.gem

1

$geminstallXSpear-{version}.gem

将此行添加到应用程序的Gemfile：

gem 'XSpear'

1

gem'XSpear'

然后执行

$ bundle

1

$bundle

依赖 gems

colorize selenium-webdriver terminal-table

如果您将其配置为在Gem库中自动安装，出现依赖问题，请尝试：

$ gem install colorize

$ gem install selenium-webdriver

$ gem install terminal-table

1

2

3

$geminstallcolorize

$geminstallselenium-webdriver

$geminstallterminal-table

XSpear cli使用

Usage: xspear -u [target] -[options] [value]

[ e.g ]

$ ruby a.rb -u 'https://www.hahwul.com/?q=123' --cookie='role=admin'

[ Options ]

-u, --url=target_URL [required] Target Url

-d, --data=POST Body [optional] POST Method Body data

--headers=HEADERS [optional] Add HTTP Headers

--cookie=COOKIE [optional] Add Cookie

--raw=FILENAME [optional] Load raw file(e.g raw_sample.txt)

-p, --param=PARAM [optional] Test paramters

-b, --BLIND=URL [optional] Add vector of Blind XSS

+ with XSS Hunter, ezXSS, HBXSS, etc...

+ e.g : -b https://hahwul.xss.ht

-t, --threads=NUMBER [optional] thread , default: 10

-o, --output=FILENAME [optional] Save JSON Result

-v, --verbose=1~3 [optional] Show log depth

+ Default value: 2

+ v=1 : quite mode

+ v=2 : show scanning log

+ v=3 : show detail log(req/res)

-h, --help Prints this help

--version Show XSpear version

--update Update with online

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

22

23

24

Usage:xspear-u[target]-[options][value]

[e.g]

$rubya.rb-u'https://www.hahwul.com/?q=123'--cookie='role=admin'

[Options]

-u,--url=target_URL[required]TargetUrl

-d,--data=POSTBody[optional]POSTMethodBodydata

--headers=HEADERS[optional]AddHTTPHeaders

--cookie=COOKIE[optional]AddCookie

--raw=FILENAME[optional]Loadrawfile(e.graw_sample.txt)

-p,--param=PARAM[optional]Testparamters

-b,--BLIND=URL[optional]AddvectorofBlindXSS

+withXSSHunter,ezXSS,HBXSS,etc...

+e.g:-bhttps://hahwul.xss.ht

-t,--threads=NUMBER[optional]thread,default:10

-o,--output=FILENAME[optional]SaveJSONResult

-v,--verbose=1~3[optional]Showlogdepth

+Defaultvalue:2

+v=1:quitemode

+v=2:showscanninglog

+v=3:showdetaillog(req/res)

-h,--helpPrintsthishelp

--versionShowXSpearversion

--updateUpdatewithonline

结果类型

(I)NFO：获取信息(例如sql错误，过滤规则，反射的参数等...)

(V)UNL：易受攻击的XSS，已检查警报/提示/确认与Selenium

(L)OW：低级问题

(M)EDIUM：中等水平问题

(H)IGH：高级别问题

个案分析

扫描XSS

$ xspear -u "http://testphp.vulnweb.com/search.php?test=query" -d "searchFor=yy"

1

$xspear-u"http://testphp.vulnweb.com/search.php?test=query"-d"searchFor=yy"

json输出

$ xspear -u "http://testphp.vulnweb.com/search.php?test=query" -d "searchFor=yy" -o json -v 1

1

$xspear-u"http://testphp.vulnweb.com/search.php?test=query"-d"searchFor=yy"-ojson-v1

详细日志

$ xspear -u "http://testphp.vulnweb.com/search.php?test=query" -d "searchFor=yy" -v 3

1

$xspear-u"http://testphp.vulnweb.com/search.php?test=query"-d"searchFor=yy"-v3

设置线程

$ xspear -u "http://testphp.vulnweb.com/search.php?test=query" -t 30

1

$xspear-u"http://testphp.vulnweb.com/search.php?test=query"-t30

在所选参数下进行测试

$ xspear -u "http://testphp.vulnweb.com/search.php?test=query&cat=123&ppl=1fhhahwul" -p cat,test

1

$xspear-u"http://testphp.vulnweb.com/search.php?test=query&cat=123&ppl=1fhhahwul"-pcat,test

测试盲目xss

$ xspear -u "http://testphp.vulnweb.com/search.php?test=query" -b "https://hahwul.xss.ht"

1

$xspear-u"http://testphp.vulnweb.com/search.php?test=query"-b"https://hahwul.xss.ht"

等等...

此外，你还可以自已添加模块，编写测试功能等等，更多见readme。

xss漏洞扫描工具
03-12
它可以分析使用HTTP和HTTPS协议进行通信的应用程序，可以用最简单地形式记录它观察的会话，并允许操作人员以各种方 式观查会话。如果你需要观察一个基于HTTP(S)应用程序的运行状态，可以满足你这种需要。不管是帮助开发人员调试其它方面 的难题，还是允许安全专业人员识别漏洞，它都是一款不错的工具。
XSS漏洞测试工具
02-10
XSS是一种非常常见的漏洞类型，它的影响非常的广泛并且很容易的就能被检测到。 攻击者可以在未经验证的情况下，将不受信任的JavaScript片段插入到你的应用程序中，然后这个JavaScript将被访问目标站点的受害者执行
XSpear开源项目安装与使用指南
最新发布
gitblog_01135的博客
08-22 432
XSpear开源项目安装与使用指南 项目地址:https://gitcode.com/gh_mirrors/xs/XSpear 1. 项目目录结构及介绍 XSpear项目基于GitHub仓库 hahwul/XSpear，它是一个专注于特定功能或目标的安全工具，尽管具体的功能细节在简短的信息中未详细说明，我们仍然可以分析其基本结构。 XSpear/ ├── README.md #...
Fiddler+X5S(XSS漏洞扫描，抓包)工具
09-22
Fiddler+X5S(XSS漏洞扫描，抓包)工具 Fiddler 是用C#写出来的,它包含一个简单却功能强大的基于JScript .NET 事件脚本子系统，它的灵活性非常棒，可以支持众多的http调试任务，并且能够使用.net框架语言进行扩展。 Fiddler支持断点调试技术，当你在软件的菜单—rules—automatic breakpoints选项选择before request,或者当这些请求或响应属性能够跟目标的标准相匹配，Fiddler就能够暂停Http通讯，并且允许修改请求和响应。这种功能对于安全测试是非常有用的，当然也可以用来做一般的功能测试，因为所有的代码路径都可以用来演习。 通过显示所有的Http通讯，Fiddler可以轻松地演示哪些用来生成一个页面，通过统计页面（就是Fiddler左边的那个大框）用户可以很轻松地使用多选，来得到一个WEB页面的“总重量”（页面文件以及相关js,css等）你也可以很轻松地看到你请求的某个页面，总共被请求了多少次，以及多少字节被转化了。 用户可以加入一个Inspector插件对象，来使用.net下的任何语言来编写Fiddler扩展。RequestInspectors 和 ResponseInspectors提供一个格式规范的，或者是被指定的（用户自定义）Http请求和响应视图。 另外，通过暴露HTTP头，用户可以看见哪些页面被允许在客户端或者是代理端进行缓存。如果要是一个响应没有包含Cache-Control 头，那么他就不会被缓存在客户端。 同类的工具有: httpwatch, firebug, wireshark。
TamperIE - 一个小巧的XSS漏洞检测辅助工具
热门推荐
软件质量优化
01-21 1万+
有些开发人员喜欢在客户端进行用户输入的检查，这种方法其实是不安全的，因为跨站脚本攻击可以绕过客户端输入界面，利用一些工具来修改提交到服务器的字符串，从而达到跨站脚本攻击的目的。TamperIE就是此类的小工具之一（www.bayden.com）TamperIE安装后以插件的方式加载到IE浏览器中，监视IE浏览器与服务器之间的HTTP通信，截获提交到服务器的HTTP语句，修改其中的数
这个工具可以帮你自动化XSS漏洞的发现和利用：XSS-Exploitation-Tool：一个强大的XSS漏洞扫描与利用工具
jklbnm12的博客
07-22 2634
功能说明获取关于目标浏览器的技术数据可以获取目标浏览器的类型、版本、操作系统、语言等信息获取目标用户的地理坐标位置可以获取目标用户的经纬度、国家、城市等信息获取已挂起/已访问的网页快照可以获取目标用户访问过或者正在访问的网页的截图获取已挂起/已访问的网页源代码可以获取目标用户访问过或者正在访问的网页的源代码提取表单输入字段数据可以获取目标用户在表单中输入过或者正在输入的数据获取Cookie数据可以获取目标用户在浏览器中存储的Cookie数据键盘记录功能。
php xss漏洞扫描工具,XSS漏洞扫描器工具：XSpear
weixin_30851655的博客
03-17 1250
XSpear是一款基于RubyGems的的XSS漏洞扫描器。拥有常见的XSS漏洞扫描攻击测试功能。还可进行参数分析。XSS漏洞扫描主要特点基于模式匹配的XSS扫描检测alertconfirmprompt无头浏览器上的事件(使用Selenium)测试XSS保护旁路和反射参数的请求/响应反射的参数过滤测试event handlerHTML tagSpecial Char测试盲XSS(使用XS...
XSS_Rays.zip_XSS Rays 下载_tool_xss扫描_xss扫描器_漏洞扫描
09-22
基于JS的XSS扫描器——XSS Rays. 最近The Spanner发布了一个名为XSS Rays的 XSS漏洞扫描器。这tool有点意思，是使用JS写的，JS遍历目标的link、form，然后构造测试用例去测试，可以发现DOM的XSS（当然是在测试用例打...
奇安信安全扫描漏洞解决路径遍历和存储型xss和反射xss攻击漏洞
11-09
亲测可用，中级漏洞，解决服务器段请求伪造 final String forURL = ESAPI.encoder().encodeForURL(url); restTemplate.exchange(forURL, HttpMethod.GET,new HttpEntity<String>(headers), List.class, params);
toxssin：一款功能强大的XSS漏洞扫描利用和Payload生成工具
顶峰
02-15 1458
toxssin支持拦截下列内容：cookie键盘击键数据粘贴事件输入修改事件文件选择表单提交服务器响应表单数据toxssin还支持下列功能：1、尝试在用户浏览网站时通过拦截http请求和响应并重写文档来实现XSS持久化；2、支持会话管理，这意味着，您可以使用它来利用反射型和存储型XSS；3、支持针对会话的自定义JavaScript脚本执行；4、自动记录所有会话信息；
漏洞扫描工具Acunettix15.2版本
03-07
Acunetix是一款知名的自动化Web应用安全扫描工具，主要用于检测网站和Web应用程序中的安全漏洞。在15.2版本中，这款工具进一步提升了其功能性和用户体验，尤其对于中文环境的支持，使得更多的中国用户能够轻松使用。...
XSSer：自动化XSS漏洞检测及利用工具
09-04
XSSer：自动化XSS漏洞检测及利用工具 跨站点“Scripter”（又名XSSer）是一个自动化框架，用于检测、利用以及报告基于Web应用程序 中的XSS漏洞。 它包含多个尝试绕过某些过滤器的选项，以及各种特殊的代码注入技术。
XSS漏洞检测工具
06-11
XSS漏洞检测工具，Linux下安装使用，很简单 Examples of usage: ============================== * Simple injection from URL: $ python XSSer.py -u "http://host.com" ------------------- * Simple injection from File, with tor proxy and spoofing HTTP Referer headers: $ python XSSer.py -i "file.txt" --proxy "http://127.0.0.1:8118" --referer "666.666.666.666" ------------------- * Multiple injections from URL, with automatic payloading, using tor proxy, injecting on payloads character encoding in "Hexadecimal", with verbose output and saving results to file (XSSlist.dat): $ python XSSer.py -u "http://host.com" --proxy "http://127.0.0.1:8118" --auto --Hex --verbose -w ------------------- * Multiple injections from URL, with automatic payloading, using caracter encoding mutations (first, change payload to hexadecimal; second, change to StringFromCharCode the first encoding; third, reencode to Hexadecimal the second encoding), with HTTP User-Agent spoofed, changing timeout to "20" and using multithreads (5 threads): $ python XSSer.py -u "http://host.com" --auto --Cem "Hex,Str,Hex" --user-agent "XSSer!!" --timeout "20" --threads "5"
XSS漏洞扫描 XSS漏洞扫描
07-08
XSS漏洞扫描XSS漏洞扫描XSS漏洞扫描XSS漏洞扫描XSS漏洞扫描XSS漏洞扫描XSS漏洞扫描XSS漏洞扫描XSS漏洞扫描XSS漏洞扫描XSS漏洞扫描
XSpear：功能强大的XSS扫描和参数分析工具＆gem
02-02
X矛 XSpear是针对Ruby宝石的XSS扫描仪 目录 主要特点 基于模式匹配的XSS扫描 在无头浏览器（使用Selenium）上检测alert confirm prompt事件 XSS保护绕过和反射（或所有）参数的测试请求/响应 反射参数 所有参数（适用于XSS和Anytings） 过滤的测试event handler HTML tag Special Char Useful code 仅为您测试自定义有效载荷！ 测试Blind XSS（使用XSS Hunter，ezXSS，HBXSS，Etc所有url base盲测...） 动态/静态分析 查找SQL错误模式 分析安全标头（ CSP HSTS X-frame-options ， XSS-protection等。） 分析其他标题（服务器版本，Content-Type等） XSS测试到URI路径 仅测试参数分析（也称为非XSS模式） 从原始文件扫描（Burp套件，ZAP请求） 在Ruby代码上运行的XSpear（带有Gem库） 显示table base cli-report和filtered rule ， testi
xss与cookie漏洞验证工具
08-25
xss与cookie漏洞验证工具
XSS漏洞扫描器(2种方法)
哆啦安全
12-14 5385
​1.使用ppmap检测和利用XSS漏洞 sudo apt-get install chromium ​ sudo sh -c 'echo "deb http://dl.google.com/linux/chrome/deb/ stable main" >> /etc/apt/sources.list.d/google.list' wget -q -O - https://dl-ssl.google.com/linux/linux_signing_key.pub | sudo apt...
推荐好用的XSS漏洞扫描利用工具
喜欢Python编程的程序员柚柚呀
12-19 1757
toxssin 是一种开源渗透测试工具，可自动执行跨站脚本 (XSS) 漏洞利用过程。它由一个 https 服务器组成，它充当为该工具 (toxin.js) 提供动力的恶意 JavaScript 有效负载生成的流量的解释器。
php xss扫描软件,XSpear：一款强大的XSS漏洞扫描器工具
weixin_39857792的博客
03-11 417
XSpear XSS扫描器XSpear是一款基于RubyGems的的XSS漏洞扫描器。拥有常见的​XSS漏洞扫描器主要特点基于模式匹配的XSS扫描检测alertconfirmprompt无头浏览器上的事件(使用Selenium)测试XSS保护旁路和反射参数的请求/响应反射的参数过滤测试event handlerHTML tagSpecial Char测试盲XSS(使用XSS Hunter...
SQL注入与XSS攻击：Web漏洞扫描工具对比测试
自动化的Web漏洞扫描器可以帮助发现这些漏洞，是开发者常用的安全工具。" 正文： 在当前数字化时代，Web应用程序的开发和使用日益普及，但随之而来的安全问题也不容忽视。Web应用的安全漏洞可能导致严重的数据泄露...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值