tql！强大的XSS扫描和参数分析工具

现在只对常读和星标的公众号才展示大图推送，建议大家把潇湘信安“设为星标”，否则可能看不到了！

主要特征

• 基于模式匹配的 XSS 扫描

• 在无头浏览器上检测alert confirm prompt事件（使用 Selenium）
• XSS 保护绕过和反射（或所有）参数的测试请求/响应
  • 反射参数
  • 所有参数（用于盲目 xss、anytings）
  • 过滤测试event handler HTML tag Special Char Useful code
  • 只为您测试自定义负载！
• 测试盲 XSS（使用 XSS Hunter、ezXSS、HBXSS 等所有 url base 盲测试...）
• 动态/静态分析
  • 查找 SQL 错误模式
  • 分析安全标头（CSP HSTS X-frame-options等XSS-protection..）
  • 分析其他标头..（服务器版本、内容类型等...）
  • 针对 URI 路径的 XSS 测试
  • 仅测试参数分析（也称为无 XSS 模式）
• 从 Raw 文件扫描（Burp 套件，ZAP 请求）
• XSpear 运行在 ruby 代码上（带有 Gem 库）
• 显示table base cli-report和filtered rule，testing raw query（网址）
• 在选定参数下进行测试
• 支持输出格式cli json html
  • 客户端
  • JSON
  • 网页格式
• 支持 Verbose 级别 (0~3)
  • 0：完全模式（仅结果）
  • 1：显示扫描状态（默认）
  • 2：显示扫描日志
  • 3: 显示详细日志(req/res)
• 支持自定义回调代码任意测试各种攻击向量
• 支持配置文件

https://github.com/hahwul/XSpear

原文始发于微信公众号（潇湘信安）：tql！强大的XSS扫描和参数分析工具