廣西

項目現已棄用，因為 Dalfox 具有發現選項，可用於識別反射參數dalfox file urls.txt --skip-xss-scanning -o reflecting.txt

廣西軟體 v4.0

用於檢查 URL 中反射參數的輕量級工具。靈感來自 @tomnomnom 的 kxss。

安裝

go install github.com/KathanP19/Gxss@latest

• 如果上述步驟不起作用，那麼您可以嘗試從這裡預先建立的二進位檔案 https://github.com/KathanP19/Gxss/releases

用法

                  
 _____ __ __ _____ _____ 
|   __|  |  |   __|   __|
|  |  |-   -|__   |__   |
|_____|__|__|_____|_____|
                         
        4.0 - @KathanP19

Usage of Gxss:
  -c int
        Set the Concurrency (default 50)
  -d string
        Request data for POST based reflection testing
  -h value
        Set Custom Header.
  -o string
        Save Result to OutputFile
  -p string
        Payload you want to Send to Check Reflection (default "Gxss")
  -u string
        Set Custom User agent. Default is Mozilla (default "Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/86.0.4240.111 Safari/537.36")
  -v    Verbose mode
  -x string
        Proxy URL. Example: http://127.0.0.1:8080

• 檢查單一 URL

  echo "https://target.com/some.php?first=hello&last=world" | Gxss -c 100

• 檢查 URL 列表

  cat urls.txt | Gxss -c 100 -p XssReflected

• 將具有反射參數的 URL 保存在文件中以進行進一步分析

  cat urls.txt | Gxss -c 100 -o Result.txt

• 對於詳細模式-v

  cat urls.txt | Gxss -c 100 -o Result.txt -v

• 發送自訂標頭-h

  cat urls.txt | Gxss -c 100 -p Xss -h "Cookie: Value"

• 發送自訂用戶代理-u

  cat urls.txt | Gxss -c 100 -p Xss -h "Cookie: Value" -u "Google Bot"

它是如何運作的

1. 它從 STDIN 取得 URL
2. 它一一檢查參數的反射值。 （有一些像 qsreplace 這樣的工具可以取代所有參數值，但 gxss 會一一檢查有效負載，這使得它與所有這些工具不同。）

 For Example- 
Url is https://example.com/?p=first&q=second

First it will check if p param reflects
https://example.com/?p=Gxss&q=second

Then it will check if q param reflects
https://example.com/?p=first&q=Gxss

3. 如果發現任何參數的反射，它會告訴響應中反映了哪個參數。

使用案例或如何添加到您的工作流程

echo "testphp.vulnweb.com" | waybackurls | httpx -silent | Gxss -c 100 -p Xss | sort -u | dalfox pipe

• Dalfox 是 @hahwul 的 Xss 掃描儀

待辦事項

• 超時選項。
• 新增 Post 方法支援。
• 新增代理支援。
• 新增一個選項，供使用者新增自己的標題
• 新增用戶代理選項

由於

• Zoid 幫我寫程式碼。
• Parth Parmar 用於新增自訂標頭和用戶代理支援。
• Luska 新增代理支援和自訂發布資料支持

支持我

• 你可以買杯咖啡