快速、直接的XSS漏洞检测爬虫 – XSScrapy
- - FreeBuf.COMXSScrapy是一个快速、直接的XSS漏洞检测爬虫，你只需要一个URL，它便可以帮助你发现XSS跨站脚本漏洞. XSScrapy的XSS漏洞攻击测试向量将会覆盖. Http头中的Referer字段
User-Agent字段
Cookie
表单（包括隐藏表单）
URL参数
RUL末尾，如 www.example.com/
跳转型XSS.
快速、直接的XSS漏洞检测爬虫 – XSScrapy
标签：
工具
| 发表时间：2014-09-16 11:08 | 作者：phper
出处：http://www.freebuf.com
XSScrapy是一个快速、直接的XSS漏洞检测爬虫，你只需要一个URL，它便可以帮助你发现XSS跨站脚本漏洞。
XSScrapy的XSS漏洞攻击测试向量将会覆盖
Http头中的Referer字段 User-Agent字段 Cookie 表单（包括隐藏表单） URL参数 RUL末尾，如 www.example.com/<script>alert(1)</script> 跳转型XSS
因为Scrapy并不是一个浏览器，所以对AJAX无能为力，我将会在未来努力实现这些功能，尽管并不容易:）
使用方法
基本检测命令
./xsscrapy.py -u http://something.com
如果你需要登陆的话，加上账号、密码作为参数即可
./xsscrapy.py -u http://something.com/login_page -l loginname -p pa$$word
检测结果将会存储在XSS-vulnerable.txt.
相关 [xss 漏洞 爬虫] 推荐：
深掘XSS漏洞场景之XSS Rootkit
- jyf1987 - 80sec深掘XSS漏洞场景之XSS Rootkit[完整修订版]. 众所周知XSS漏洞的风险定义一直比较模糊，XSS漏洞属于高危漏洞还是低风险漏洞一直以来都有所争议. XSS漏洞类型主要分为持久型和非持久型两种：. 非持久型XSS漏洞一般存在于URL参数中，需要访问黑客构造好的特定URL才能触发漏洞. 持久型XSS漏洞一般存在于富文本等交互功能，如发帖留言等，黑客使用的XSS内容经正常功能进入数据库持久保存.
百度知道XSS漏洞
- - 博客园_首页事情的起因是我一同学在百度知道上看到一个很奇怪的，正文带有连接的提问（ 这里），正常来说，这种情况是不可能出现的. 我条件反射的想到了：XSS漏洞. 通过查看源代码，我马上发现了问题的根源：未结束的标签.
帮我写一个能提取pentesterlab xss漏洞分析
- - JavaScript - Web前端 - ITeye博客pentesterlab简介. pentesterlab官方定义自己是一个简单又十分有效学习渗透测试的演练平台. pentesterlab环境搭建. 官方提供了一个基于debian6的镜像，官网下载镜像，使用vmware建立一个虚拟机，启动即可. ps：官方文档建议做一个host绑定，方便后面使用.
【原创】腾讯微博的XSS攻击漏洞
- sec314 - 博客园-首页原创精华区相信大家都知道新浪微博在6月28日发生的XSS攻击事件了吧. 在那晚里，大量新浪微博用户自动发送微博信息和自动关注一名叫“hellosamy“的用户. 究竟XSS攻击为什么能有这么大的威力. 现在很多网站都采用了Cookie记录访问者的登录状态，在进行某些功能操作时（比如：发微博），服务器判断用户的Cookie记录的登录状态，如果用户是登录状态的则允许操作.
使用Fiddler的X5S插件查找XSS漏洞
- - FreeBuf.COMOWASP top 10的安全威胁中的CrossSite Scripting（跨站脚本攻击），允许攻击者通过浏览器往网站注入恶意脚本. 这种漏洞经常出现在web应用中需要用户输入的地方，如果网站有XSS漏洞，攻击者就可以通过这种漏洞向浏览网站的用户发送恶意脚本，同时也可以利用该漏洞偷取sessionid，用来劫持用户帐户的会话.
漏洞科普：对于XSS和CSRF你究竟了解多少
- - FreeBuf.COM 随着Web2.0、社交网络、微博等等一系列新型的互联网产品的诞生，基于Web环境的互联网应用越来越广泛，企业信息化的过程中各种应用都架设在Web平台上，Web业务的迅速发展也引起黑客们的强烈关注，接踵而至的就是Web安全威胁的凸显. 黑客利用网站操作系统的漏洞和Web服务程序的SQL注入漏洞等得到Web服务器的控制权限，轻则篡改网页内容，重则窃取重要内部数据，更为严重的则是在网页中植入恶意代码，使得网站访问者受到侵害.
在HTML5移动应用中挖掘XSS漏洞
- - FreeBuf.COM | 关注黑客与极客@_zulln )是一位有着15年漏洞挖掘经验的瑞士黑客，本文就是他写的. 现在使用HTML5开发移动APP越来越受欢迎. HTML5不仅开发效率高，而且可以跨平台，代码重用性也很高. Zoho（全球第一大在线软件提供商，总部位于美国）是一个有着1300万用户的HTML5邮件系统，我打算挖挖他们的漏洞.
WEB安全：XSS漏洞与SQL注入漏洞介绍及解决方案 - 牛奶、不加糖
- - 博客园_首页一、跨站脚本攻击(XSS). XSS又叫CSS (Cross Site Script) ，跨站脚本攻击. 它指的是恶意攻击者往Web页面里插入恶意脚本代码，而程序对于用户输入内容未过滤，当用户浏览该页之时，嵌入其中Web里面的脚本代码会被执行，从而达到恶意攻击用户的特殊目的. XSS攻击者通过构造URL的方式构造了一个有问题的页面；当其他人点击了此页面后，会发现页面出错，或者被暗中执行了某些js脚本，这时，攻击行为才真正生效.
好用的Google漏洞爬虫：Google Mass Explorer
- - FreeBuf.COM | 关注黑客与极客这是一款基于谷歌搜索引擎的自动化爬虫. 先进行一次谷歌搜索，将结果解析为特定格式，然后再提供给exp使用. 大家可以尝试使用–help来列出所有参数. 这个项目笔者会持续更新，以后再添加新的exp进行升级. 此外，它会利用google_parsers模块去构建exp解析搜索结果，所以当你开始搜索时，可以选择“–exploit parser”参数来指定相应exp.