XSS漏洞扫描器1.3k个payload自带绕waf

sudo pip3 install pycurl bs4 pygeoip gobject cairocffi selenium

./xsser -u "http://192.168.179.1:6595/vul/xss" -g "xss_reflected_get.php?message=XSS&submit=submit"

./xsser -u "http://192.168.179.1:6595/vul/xss/xss_stored.php" -p "message=XSS&submit=submit"

Options:  --version             show program's version number and exit  -h, --help            show this help message and exit  -s, --statistics      显示高级统计输出结果  -v, --verbose         活动详细模式输出结果  --gtk                 启动XSSer GTK接口  --wizard              启动向导帮助程序!
  *Special Features*:    您可以设置Vector和Bypasser来为嵌入的XSS代码构建复杂的脚本。XST允许您发现目标是否易受“跨站点跟踪”攻击    [CAPEC-107]:
    --imx=IMX           使用XSS创建图像 (--imx image.png)    --fla=FLASH         使用XSS创建flash影片 (--fla movie.swf)    --xst=XST           XST - 跨站点跟踪 (--xst http(s)://host.com)
  *Select Target(s)*:    必须至少指定其中一个选项来设置要从中获取目标URL的源:
    --all=TARGET        自动审核整个目标    -u URL, --url=URL   输入要审核的目标    -i READFILE         从文件读取目标URL    -d DORK             使用查询搜索目标 (ex: 'news.php?id=')    -l                  从“docks”列表中搜索    --De=DORK_ENGINE    使用搜索引擎 (默认: DuckDuckGo)    --Da                使用所有搜索引擎进行大规模搜索
  *Select type of HTTP/HTTPS Connection(s)*:    这些选项可用于指定要用作有效负载的参数。将“XSS”设置为要注入的位置的关键字:
    -g GETDATA          使用GET发送有效负载 (举例: '/menu.php?id=XSS')    -p POSTDATA         使用POST发送有效负载 (举例: 'foo=1&bar=XSS')    -c CRAWLING         目标上要测试的URL数: 1-99999    --Cw=CRAWLER_WIDTH  测试深度 1-5 (默认: 2)    --Cl                仅测试本地目标URL (默认: FALSE)
  *Configure Request(s)*:    这些选项可用于指定如何连接到目标负载。您可以选择多个:
    --head              在开始测试之前发送HEAD请求    --cookie=COOKIE     更改HTTP Cookie标头    --drop-cookie       忽略响应中的Set Cookie标头    --user-agent=AGENT  更改HTTP用户代理标头（默认值：SPOOFED）    --referer=REFERER   使用另一个HTTP Refer标头（默认值：NONE）    --xforw             使用随机IP值设置HTTP X-Forwarded-For“    --xclient           使用随机IP值设置HTTP X-Client-IP    --headers=HEADERS   额外的HTTP标头换行    --auth-type=ATYPE   HTTP身份验证类型 (Basic, Digest, GSS or NTLM)    --auth-cred=ACRED   HTTP身份验证凭据 (name:password)    --check-tor         检查Tor是否正确使用    --proxy=PROXY       使用代理 (tor: http://localhost:8118)    --ignore-proxy      忽略系统默认HTTP代理    --timeout=TIMEOUT   选择超时时间 (默认: 30)    --retries=RETRIES   连接超时时重试 1：开启   0：关闭 (默认: 1)    --threads=THREADS   最大并发请求数 (默认: 5)    --delay=DELAY       每次请求之间的延迟（秒） (默认: 0)    --tcp-nodelay       使用TCP_NODELAY选项    --follow-redirects  服务器重定向 (默认: FALSE)    --follow-limit=FLI  设置重定向请求的限制 (默认: 50)
  *Checker Systems*:    这些选项有助于了解您的目标是否使用WAF来抵御XSS攻击:
    --hash              发送哈希以检查目标是否重复内容    --heuristic         发现使用启发式筛选的参数    --discode=DISCODE   在回复时设置代码以放弃注入    --checkaturl=ALT    使用检查回复: <alternative url> [aka BLIND-XSS]    --checkmethod=ALTM  使用检查回复: GET or POST (default: GET)    --checkatdata=ALD   使用检查回复: <alternative payload>    --reverse-check     从目标到XSSer的反向连接建立从目标到XSSer的逆向连接
  *Select Vector(s)*:    这些选项可用于指定注入代码。如果您不想注入默认使用的公共XSS向量，这一点很重要。仅选择一个选项:
    --payload=SCRIPT    -注入自己的代码    --auto              AUTO-注入XSSer提供的向量列表
  *Select Payload(s)*:    这些选项可用于设置XSSer提供的向量列表。仅在需要时选择:
    --auto-set=FZZ_NUM  ASET  - 要注入的矢量的限制 (default: 1293)    --auto-info         AINFO - 仅选择带有信息的矢量 (default: FALSE)    --auto-random       ARAND - 按顺序随机设置 (default: FALSE)
  *Anti-antiXSS Firewall rules*:    这些选项可用于尝试绕过特定的WAF/IDS产品和一些反XSS浏览器过滤器。仅在需要时选择:
    --Phpids0.6.5       PHPIDS (0.6.5) [ALL]    --Phpids0.7         PHPIDS (0.7) [ALL]    --Imperva           Imperva Incapsula [ALL]    --Webknight         WebKnight (4.1) [Chrome]    --F5bigip           F5 Big IP [Chrome + FF + Opera]    --Barracuda         Barracuda WAF [ALL]    --Modsec            Mod-Security [ALL]    --Quickdefense      QuickDefense [Chrome]    --Sucuri            SucuriWAF [ALL]    --Firefox           Firefox 12 [& below]    --Chrome            Chrome 19 & Firefox 12 [& below]    --Opera             Opera 10.5 [& below]    --Iexplorer         IExplorer 9 & Firefox 12 [& below]
  *Select Bypasser(s)*:    这些选项可用于对向量进行编码，并尝试绕过可能的反XSS过滤器。它们可以与其他技术相结合:
    --Str               使用方法String.FromCharCode（）    --Une               使用Unescape（）函数    --Mix               混合字符串。FromCharCode（）和Unescape（）    --Dec               使用十进制编码    --Hex               使用十六进制编码    --Hes               使用带分号的十六进制编码    --Dwo               用DWORD编码IP地址    --Doo               用八进制编码IP地址    --Cem=CEM           设置不同的“字符编码变体”（反转混淆器） (ex: 'Mix,Une,Str,Hex')
  *Special Technique(s)*:    这些选项可用于使用不同的XSS技术和模糊向量注入代码。您可以选择多个:
    --Coo               COO - 跨站点脚本Cookie注入    --Xsa               XSA - 跨站点代理脚本    --Xsr               XSR - 跨站点引用脚本    --Dcp               DCP - 数据控制协议注入    --Dom               DOM - 文档对象模型注入    --Ind               IND - HTTP响应拆分引发的代码
  *Select Final injection(s)*:    这些选项可用于指定要在易受攻击的目标上注入的最终代码。如果您想利用发现的漏洞进行“野外”攻击，这一点很重要。仅选择一个选项:
    --Fp=FINALPAYLOAD   OWN    - 利用您自己的代码    --Fr=FINALREMOTE    REMOTE - 远程利用脚本-
  *Special Final injection(s)*:    这些选项可用于对易受攻击的目标执行某些“特殊”注入。您可以选择多个并将它们与最终代码组合（DCP漏洞除外）:
    --Anchor            ANC  - 使用“Width Stealth”加载程序(DOM shadows!)    --B64               B64  - META标记中的Base64代码编码 (rfc2397)    --Onm               ONM  - 使用onMouseMove（）事件    --Ifr               IFR  - 使用<iframe>源标记    --Dos               DOS  - XSS（客户端）拒绝服务    --Doss              DOSs - XSS（服务端）拒绝服务
  *Reporting*:    --save              Export to file (XSSreport.raw)    --xml=FILEXML       Export to XML (--xml file.xml)
  *Miscellaneous*:    --silent            Inhibit console output results    --alive=ISALIVE     Set limit of errors before check if target is alive    --update            Check for latest stable version