BruteXSS进行XSS漏洞扫描

该脚本仅支持python2.7环境

1.如何使用Brute XSS脚本记性XSS漏洞扫描？

（1）首先，打开brutexss.py脚本。

 

（2）其次，选择请求方式，输入P为POST请求方式，输入G为GET请求方式，enter执行后输入要测试的URL。

（3）接着，如果是GET请求方式直接跳到使用字典步骤，而POST请求方式需要输入post类型的参数，点击enter；输入字典我们直接点击enter默认使用wordlist.txt的字典（或者选择字典位置，brutexss目录下一般含有wordlist.txt（20条常用）、wordlist-small.txt（约100条，相对全面）、wordlist-medium.txt（200条）等字典）。

（4）最后，扫描完成，生成如下图的结果图。

2.如何进行手动XSS测试?

（1）首先,找到带有参数传递的URL,如 登录页面,搜索页面,提交评论,发表留言 页面等等。

（2）其次,在页面参数中输入如下语句(如:Javascrīpt,VB scrīpt, HTML,ActiveX, Flash)来进行测试：<scrīpt>alert(123456)</scrīpt>

  注:其它的XSS测试语句百度

（3）最后,当用户浏览时便会弹出一个警告框，内容显示的是浏览者当前的cookie串,这就说明该网站存在XSS漏洞。

3.如何预防XSS漏洞?
（1）对Javascrīpt,VB scrīpt, HTML,ActiveX, Flash等 语句或脚本进行转义.

（2）在服务端正式处理之前提交数据的合法性(合法性检查主要包括三项:数据类型,数据长度,敏感字符的校验)进行检查等。最根本的解决手段,在确认客户端的输入合法之前,服务端拒绝进行关键性的处理操作.

参考：https://www.cnblogs.com/Pitcoft/p/6341322.html