XSS自动扫描工具 - X-Recon

XSS自动扫描工具 - X-Recon

发布日期： 2024-06-13

X-侦察： 一款用于识别网页输入并进行XSS扫描的实用工具。特别适用于测试PHP开发的网站，其他网站的效果请自行测试。

（此处应有图片，但未提供）

功能特点：

• 子域名发现： 检索目标网站的相关子域名，并将其整合到白名单中，以便在抓取过程中使用。
• 全站链接发现： 根据提供的白名单和指定的max_depth，收集整个网站的所有链接。
• 表单和输入提取： 识别提取的链接中找到的所有表单和输入，生成JSON输出。此JSON输出是利用该工具的XSS扫描功能的基础。
• XSS扫描： 一旦侦察选项返回包含提取条目的自定义JSON，X-Recon工具就可以启动XSS漏洞测试过程，并为您提供所需的结果。

笔记：

• 目前，扫描功能在SPA（单页应用程序）Web应用程序上不可用。我们仅在使用PHP开发的网站上进行了测试，取得了显著的效果。未来，我们计划将这些功能整合到该工具中。

X-Recon XSS扫描：

• 此工具会维护一个最新的文件扩展名列表，这些文件扩展名会在探索过程中跳过。默认列表包括图像、样式表和脚本等常见文件类型（".css",".js",".mp4",".zip",".png",".svg",".jpeg",".webp",".jpg",".gif"）。您可以通过编辑setting.json文件自定义此列表，以更好地满足您的需求。

安装指南：

1. 克隆X-Recon仓库：

   $ git clone https://github.com/joshkar/X-Recon

2. 进入X-Recon目录：

   $ cd X-Recon

3. 安装依赖：

   $ python3 -m pip install -r requirements.txt

4. 运行X-Recon：

   $ python3 xr.py

测试目标：

您可以在“获取URL”部分中使用以下地址进行测试：

http://testphp.vulnweb.com

注：地址中不应包含"http"。

如果您有任何其他问题或需要进一步的帮助，请随时告知！