toxssin:一款功能强大的XSS漏洞扫描利用和Payload生成工具
2022-8-31 18:52:6 Author: www.freebuf.com(查看原文) 阅读量:16 收藏

freeBuf

主站

分类

漏洞 工具 极客 Web安全 系统安全 网络安全 无线安全 设备/客户端安全 数据安全 安全管理 企业安全 工控安全

特色

头条 人物志 活动 视频 观点 招聘 报告 资讯 区块链安全 标准与合规 容器安全 公开课

官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户,每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序

FreeBuf+小程序

关于toxssin

toxssin是一款功能强大的XSS漏洞扫描利用和Payload生成工具,这款渗透测试工具能够帮助广大研究人员自动扫描、检测和利用跨站脚本XSS漏洞。该工具由一台HTTPS服务器组成,这台服务器将充当一个解释器,用于处理恶意JavaScript Payload生成的流量,并驱动该工具(toxin.js)的运行。

功能介绍

toxssin支持拦截下列内容:

cookie

键盘击键数据

粘贴事件

输入修改事件

文件选择

表单提交

服务器响应

表单数据

toxssin还支持下列功能:

1、尝试在用户浏览网站时通过拦截http请求和响应并重写文档来实现XSS持久化;

2、支持会话管理,这意味着,您可以使用它来利用反射型和存储型XSS;

3、支持针对会话的自定义JavaScript脚本执行;

4、自动记录所有会话信息;

工具安装&使用

该工具基于Python 3开发,因此我们首先需要在本地设备上安装并配置好Python 3环境。接下来,广大研究人员可以使用下列命令将该项目源码克隆至本地,并通过pip3命令和项目提供的requirements.txt文件安装该工具所需的依赖组件:

git clone https://github.com/t3l3machus/toxssin

cd ./toxssin

pip3 install -r requirements.txt

如需启动toxssin.py,还需要提供SSL证书和私钥文件。

如果你没有一个带有授信证书的域名,你也可以使用下列命令来签发和使用自签名证书:

openssl req -x509 -newkey rsa:2048 -keyout key.pem -out cert.pem -days 365

强烈建议我们使用授信证书来运行toxssin,接下来我们就可以通过下列命令运行toxssin服务器了:

# python3 toxssin.py -u https://your.domain.com -c /your/certificate.pem -k /your/privkey.pem

工具运行截图

工具演示视频

视频地址https://www.you*tube.com/watch?v=i9osyuFK6ro

许可证协议

本项目的开发与发布遵循MIT开源许可证协议。

项目地址

toxssin:【GitHub传送门

参考资料

https://github.com/t3l3machus/toxssin#How-to-get-a-Valid-Certificate

https://www.namecheap.com/


文章来源: https://www.freebuf.com/articles/web/343435.html
如有侵权请联系:admin#unsafe.sh