XSStrike, la suite de détection XSS

XSStrike en bref

XSStrike est une suite de détection XSS équippé de quatre analyseurs écrits à la main, un générateur de payload intelligent, un moteur de fuzzing puissant et un crawler incoyablement rapide.
Au lieu d'injecter des payloads et vérifier que ça fonctionne comme le font tous les autres outils, XSStrike analyse la réponse avec de nombreux analyseurs et crée des payloads qui sont sûrs de fonctionner en alaysant le contexte, intégré avec le moteur de fuzzing. Voici quelques exemples de payloads générés par XSStrike :


	}]};(confirm)()//\

<A%0aONMouseOvER%0d=%0d[8].find(confirm)>z

</tiTlE/><a%0donpOintErentER%0d=%0d(prompt)``>z

</SCRiPT/><DETAILs/+/onpoINTERenTEr%0a=%0aa=prompt,a()//

Pincipales caractéristiques

Scan de XSS DOM réfléchis
Crawling multithreads
Analyse du contexte
Moteur configurable
Détection et évasion WAF
Scan de librairies javascript obsolètes
Générateur intélligent de payloads
Analyseur HTML et Javascript écrit à la main
Puissant moteur de fuzz
Support XSS à l'aveugle
Support complet HTTP
Utilisation d'un fichier pour faire du bruteforce de payload
Utilisation de Photon, Zetaniz et Arjun
Encodage de payloads

Documentation

FAQ

Copies d'écran

XSS DOM

XSS Refléchi

Crawling

Fuzzing

Bruteforce de payload à l'aide d'un fichier

Modification interractive des entêtes HTTP

Découverte de paramètres cachés

Contribution, crédits et licence

Des pistes pour contribuer

Suggérer une amélioration
Rapporter un bug
Corriger un bug et ouvrir une pull request
Créer un extension de navigateur
Créer un plugin burp suite ou zaproxy
M'aider à documenter le code
Faire connaitre cet outil

Sous licence GNU GPLv3, voir le fichier LICENSE pour plus d'information.
Les signatures WAF dans /db/wafSignatures.json ont été prises et modifiées de sqlmap. Extraits des modules de détection WAF et convertis en JSON.
/plugins/retireJS.py est une version modifiée de retirejslib.

Avertissement

L'utilisation de ce programme ne peut se faire que dans le cadre légal d'un audit de vulnérabilités, basé sur le consentement mutuel. Il est de la responsabilité de l'utilisateur final de ne pas utiliser ce programme dans un autre cadre. SecuriteInfo.com n'assume aucune responsabilité et n'est pas responsable de toute mauvaise utilisation ou de tout dommage causé par ce programme.