Burp Suite XSS漏洞检测插件

工具介绍

XSS-Detector是一款面向Burp Suite的扩展插件，专注于检测Web应用中的跨站脚本(XSS)漏洞。本插件采用多线程并发设计，通过精确的请求-响应-漏洞映射关系，提升测试效率和结果准确性。

功能介绍

1. 配置面板

位于插件顶部的标签页，提供核心配置选项：

• 功能：自定义XSS测试载荷列表
• 操作：在文本区域中每行输入一个payload
• 语法：支持标准HTML、JavaScript的XSS向量
• 示例：<script>alert(1)</script>, "><img src=x onerror=alert(1)>
• 最佳实践：根据目标应用类型选择适合的payload，避免过于复杂的向量

• 白名单配置：

  • 格式：每行一个正则表达式
  • 匹配规则：URL与任一正则匹配则进行测试
  • 示例：^https://example.com/.*
• 黑名单配置：

  • 格式：每行一个正则表达式
  • 匹配规则：URL与任一正则匹配则跳过测试
  • 优先级：黑名单规则优先于白名单规则
• Burp作用域集成：

  • 勾选"使用Burp作用域"可直接采用Burp已配置的目标范围
  • 与白名单可同时使用，形成"或"的关系

• 最大并发任务：调整同时发送的HTTP请求数
• 调优建议：
  • 高性能服务器：设置为10-20
  • 普通应用：设置为5-10
  • 脆弱系统：设置为1-3

• 保存配置：将当前配置保存到文件系统，支持跨会话使用
• 加载配置：从文件系统读取已保存的配置
• 清除数据：重置插件状态，清空所有记录和结果

2. 请求列表（左侧表格）

显示被拦截和处理的HTTP请求：

• 列说明：

  • URL：请求的目标地址
  • 方法：HTTP方法（GET、POST等）
  • 参数：包含的参数列表
  • 状态码：HTTP响应状态码
  • 测试状态：当前请求的测试进度与结果
• 交互操作：

  • 单击选择：显示请求/响应详情，并在右侧显示相关漏洞
  • 右键菜单：提供额外操作（如重发请求、复制URL等）
  • 列排序：点击列标题进行升序/降序排序
• 状态指示器：

  • 待测试：请求尚未进行XSS测试
  • **测试中...**：正在进行XSS测试
  • 无漏洞：测试完成，未发现漏洞
  • **!!Vulnerable!!**：发现潜在XSS漏洞

3. 发现问题列表（右侧表格）

显示与选中请求相关的潜在XSS漏洞：

• 列说明：

  • 参数：存在潜在漏洞的参数名
  • Payload：触发漏洞的测试载荷
  • 数据包长度：响应包大小
  • 存在：漏洞确认状态（✓表示确认存在）
  • 响应码：对应响应的HTTP状态码
• 颜色指示：

  • 橘黄色行：表示高置信度的漏洞（响应中包含完整payload）
  • 普通行：表示低置信度的可能漏洞或测试记录
• 交互操作：

  • 单击选择：在下方显示包含漏洞的请求和响应详情
  • 双击操作：快速跳转到响应中payload位置

工具获取