[工具] BurpSuite--XssValidator插件

0x00 安装

所需软件：

1、burpsuite

2、xssvalidator

      源码：https://github.com/nVisium/xssValidator（按照编译指导编译）

      burpsuite_BApp：https://portswigger.net/bappstore/bapps/download/98275a25394a417c9480f58740c1d981

3、phantomjs（用于执行xssvalidator插件中的xss.js，这个是必须的，不启动xssvalidator插件将无法探知xss是否存在，应该就是提供js的执行环境的）

 

下面开始进行安装操作，这里就不介绍编译插件了，直接安装BApp文件

Extender选择BApp Store选项下，选择Manual install后，选择下载好的BApp文件即可安装插件，安装后如下

 

0x01 使用

使用前必须启动xss服务

cd /xssValidator/xss-detector
phantomjs xss.js

 xssValidator主要是通过instruder的功能进行扫描的，故只要将目标请求发送到instruder，

我们直接开始xssvalidator的配置，instruder的配置请参考“[工具]Burpsuite-instruder功能”

 

配置payloads为xssvalidator

 

 配置Options的grep - match

 

 

 Grep - match对应的字符串的出处

 

注：上面Grep Phrase的字符串可以修改为自己喜欢的

到这里就配置完成了，可以启动instruder进行扫描了

 

查看扫描结果

勾选的这些就是存在XSS漏洞的请求

 

验证XSS漏洞

选择in original seesion

将url地址copy到浏览器中访问，就可以复现xss漏洞

有时可能会出现这个页面，点击Repeat request即可