C15-XSStrike工具安装和使用

kali安装xsstrike失败，报错:Package python3-pip is not available。
https://wiki.bafangwy.com/doc/406/

xsstrike报错error: externally-managed-environment
https://wiki.bafangwy.com/doc/317/

# 工具说明
XSStrike是一款用Python编写的，检测Cross Site Scripting的高级检测工具。
它集成了payload生成器、爬虫和模糊引擎功能。XSStrike不是像其他工具那样注入有效负载并检查其工作，而是通过多个解析器分析响应，然后通过与模糊引擎集成的上下文分析来保证有效负载。除此之外，XSStrike还具有爬行，模糊测试，参数发现，WAF检测功能。它还会扫描DOM XSS漏洞。

# Python基础环境
安装Python参考：
https://wiki.bafangwy.com/doc/604/

Windows多个Python版本如何切换
https://wiki.bafangwy.com/doc/697/

建议用3.8或者3.9运行XSStrike。

# 下载代码
https://github.com/s0md3v/XSStrike.git

从右边的Release界面进入：

![](/media/202410/2024-10-05_235010_7116310.9842860950271968.png)

下载最新版本的“Source code”。

然后用xftp把zip压缩包传到Linux。
使用unzip命令解压。

# 严重注意
因为XSStrike可能和其他工具的python环境冲突，建议使用conda创建一个虚拟机环境：
安装conda参考（把第一步做完即可）：
https://wiki.bafangwy.com/doc/690/

创建一个名为xss的虚拟环境，指定python版本
`conda create -y -n xss python==3.9.0`

激活名为xss的虚拟机环境
`conda activate xss`

# 安装依赖
进入conda虚拟机环境以后：
在解压出来的XSStrike目录下输入：
`pip install -r requirements.txt`

# 使用说明
`python xsstrike.py -h`可以查看帮助信息：

-u/--url：指定要测试的目标 URL。
--data：用于 POST 请求，指定提交的数据。
-e/--encode：编码荷载以绕过 WAF 或其他过滤器。
--fuzzer：启用模糊测试模式以在请求中注入随机负载。
--update：更新 XSStrike 到最新版本。
--timeout：设置每次 HTTP 请求的超时时间。
--proxy：使用代理服务器发送请求。
--crawl：启用爬虫模式，自动发现与目标相关的页面。
--json：将 POST 数据视为 JSON 格式。
--path：在路径中注入负载。
--seeds：从文件中加载作为种子的网址列表来加速爬取。
-f/--file：从文件中加载测试负载列表。
-l/--level：设置爬取级别，0-5。
--headers：添加请求头。
-t/--threads：设置并发线程数。
-d/--delay：设置两个请求之间的延迟时间。
--skip：跳过询问用户是否要继续扫描。
--skip-dom：跳过 DOM 检查。
--blind：在爬取过程中注入盲 XSS 负载。
--console-log-level/--file-log-level/--log-file：设置日志输出级别和文件名。

<font color="red">
注意：
-u后面的地址，必须用双引号，不能用单引号，否则会报错
https://www.mashibing.com/question/detail/107350
</font>

# 扫描漏洞

以pikachu靶场为例：
反射型 GET：
`python xsstrike.py -u "http://localhost/pikachu/vul/xss/xss_reflected_get.php?message=1&submit=submit"`

注意，对message参数扫描的结果在最前面：

![](/media/202410/2024-10-05_235345_8814070.9178320345565135.png)

末尾显示submit参数没有漏洞是正常的：

![](/media/202410/2024-10-05_235417_9580200.34271145841058503.png)

POST
注意：`localhost`和`127.0.0.1`以及具体IP是不一样的！浏览器是用哪个域名登录的，就扫描哪个域名，否则cookie无法生效。
如果在Kali虚拟机扫描，只能用物理机的IP扫描，那么浏览器必须用IP登录。

粘贴以后，替换其中的IP、PHPSESSID值即可，不要自己敲以免出错
`python xsstrike.py -u "http://localhost/pikachu/vul/xss/xsspost/xss_reflected_post.php" --data "message=1&submit=submit" --headers "Cookie: ant[uname]=admin; ant[pw]=10470c3b4b1fed12c3baac014be15fac67c6e815; PHPSESSID=b000e5b8l1tuu6viv78tb0hlt4"`

漏洞结果在工具运行的开头：
![](/media/202410/2024-10-06_104009_0065220.46338785495005286.png)

程序使用完毕，退出当前虚拟环境
`conda deactivate`