安全猴本日要给大家先容的是一款名叫挖掘XSS漏洞的神器，它不仅可以通过对参数进行暴力破解并结合模糊测试来挖掘跨站脚本（XSS）漏洞，而且XSStrike乃至还能够检测并绕过目标Web运用所部属的安全防护系统。
下载和利用给“安全猴”发送“XSStrike”获取XSStrike的利用视频教程及工具。
XSStrikeXSStrike是一款采取Python措辞开拓的漏洞扫描工具，它领悟了模糊测试技能，并能够通过对参数进行暴力破解来探求Web运用中可能存在的XSS漏洞。当然了，作为一款挖掘XSS漏洞的神器，检测和绕过Web运用防火墙的能力是肯定不能少的。须要把稳的是，该项目目前仍在开拓阶段，以是有能力或感兴趣的朋友可以去该项目的GitHub库贡献自己的代码。
XSStrike目前可支持的功能如下（打勾的是已有功能，没打勾的是准备添加的功能）：
安装XSStrike
利用下列命令下载XSStrike（或给安全猴发送“XSStrike”直接获取工具及利用视频教程）：
git clonehttps://github.com/UltimateHackers/XSStrike/
下载完成之后，从命令行进入XSStrike的主目录：
cd XSStrike
利用下列命令安装依赖模块：
pip install -r requirements.txt
安装完成！
现在我们就可以开始利用XSStrike了：
python xsstrike
利用XSStrike进入这个界面之后，你就可以输入须要扫描的URL地址了。不过请记住，你一定要用字符串“d3v<”来标记最最主要的那个参数，例如：
target.com/search.php?q=d3v&category=1
输入了须要测试的URL之后，XSStrike将会自动检测该目标当前是否受到WAF的保护，如果没有检测到WAF的话它将会给你供应三种操作选项：
1.Fuzzer：它会检测Web页面对我们的输入用例有什么样的反应，然后根据Web页面的相应情形来构建相应的Payload。
2.Striker：它可以对每一个参数进行暴力破解，并在浏览器窗口中天生PoC。
3.Hulk：Hulk拥有一套固定的Payload，它可以向目标参数一个接一个地注入自己的Payload，并在浏览器窗口中显示结果。
XSStrike还可以绕过WAF：
XSStrike同样支持POST方法：
跟其他那些傻瓜式的暴力破解工具不同的是，XSStrike虽然指供应了少量的Payload，但这些Payload绝对是百里挑一的，而且个中绝大部分的Payload都是开拓职员精心设计的，利用的效果肯定要比其他Payload好得多。
如果各位同学在利用XSStrike的过程中创造了漏洞，或者对XSStrike有任何建议的话，可以直接在该项目的GitHub库上互换。
更多国内外精彩安全资讯以及信息安全技能资源，尽在“安全猴”
