xssValidator的使用

burpsuite插件xssValidator的安装及使用

一、安装所需环境

1、Phantomjs

下载：

http://phantomjs.org/download.html

下载后配置环境变量，把bin目录下的这个exe加入环境变量

2、xss.js

xss.js是phantomJS检测xss漏洞的具体实现。下载地址为：

https://github.com/nVisium/xssValidator

下载完成后，将xss.js放在phantomjs同一个文件夹下

利用phantomjs运行xss.js

C:\xss\phantomjs-2.1.1-windows\bin>phantomjs xss.js

3、XSS Validator插件安装

在burpsuit的Extender模板下，找到BApp Store，搜索XSS Validator，进行安装即可。如下图所示：

二、使用xss Validator自动化测试XSS

1、使用burpsuite抓包并send intuder

2、配置变量

3、配置options的grep – match

4、配置xss Validator

 

5、修改请求参数并进行XSS自动扫描

6、查看单独的结果（有勾选的就是有xss漏洞的）

7、在浏览器中重现

 

 

就可以看到XSS了！

综上对一些渗透项目来说，能更快速发现xss，和awvs相比，爆破字典足够齐全，避免一些遗漏场景。