是否有跨平台工具将XSS攻击直接写入数据库？

Question

我最近在一个将XSS攻击直接写入数据库的工具上找到this blog entry。它看起来像是一种非常好的方法来扫描应用程序中的应用程序中的弱点。

我试图在Mono上运行它，因为我的开发平台是Linux。不幸的是，它在System.ArgumentNullException深Microsoft.Practices.EnterpriseLibrary内崩溃，我似乎无法找到有关软件的足够信息（它似乎是一个单一项目，没有主页，没有进一步的开发）。

有人知道类似的工具吗？最好是：

• 跨平台（Java，Python，.NET / Mono，甚至跨平台C都可以）
• 开源（我真的很喜欢能够审核我的安全工具）
• 能够与各种数据库产品交谈（最重要的是：MySQL，Oracle，SQL Server，......）

编辑：我想澄清一下我的目标：我想要一个直接写一个成功的XSS的结果的工具/ SQL注入攻击到数据库中。我的想法是，我想检查我的应用中的每个位置是否都正确输出编码。首先检测并避免数据到达那里是完全不同的事情（当我显示由第三方应用程序写入数据库的数据时可能无法实现）。

编辑2 ：Corneliu Tusnea是我上面链接的工具的作者，后来在codeplex上发布了该工具作为免费软件：http://xssattack.codeplex.com/

Answer 1

不确定这是否是您所追求的，它是HTTP / HTTPS的参数模糊器。

我暂时没有使用它，但是IIRC它在您和有问题的Web应用程序之间起代理作用 - 并且会在确定响应是否“有趣”之前将XSS / SQL注入攻击字符串插入到任何输入字段中或者不是，因此应用程序是否易受攻击。

http://www.owasp.org/index.php/Category:OWASP_WebScarab_Project

从你的问题我猜测它是你正在寻找的一种模糊器，一种专门用于XSS和Web应用程序的模糊器;如果我是对的 - 那可能对你有帮助！

它是开放式网络应用程序安全项目（OWASP）的一部分，“jah”将您链接到上面。

Answer 2

我认为metasploit拥有您正在寻找的大部分属性。它甚至可能是唯一一个拥有你指定的所有东西的东西，因为我能想到的所有其他东西都是闭源的。有一些现有的模块可以处理XSS，特别是你应该看一下：HTTP Microsoft SQL注入表XSS感染。从该模块的声音中，它能够完成您想要做的事情。 我认为该框架是用Ruby编写的，并且应该可以使用您自己需要/想要执行的模块轻松扩展。 我希望有所帮助。

http://www.metasploit.com/

Answer 3

这里有一些Firefox插件可以进行一些XSS测试： http://labs.securitycompass.com/index.php/exploit-me/

Answer 4

我的一位朋友一直说，php-ids非常好。我自己没试过，但听起来好像它大致符合你的描述：

• 开源（LGPL），
• 跨平台 - PHP不在您的列表中，但也许没关系？
• 检测“各种XSS，SQL注入，标头注入，目录遍历，RFE / LFI，DoS和LDAP攻击”（这是来自FAQ）
• 登录数据库。

Answer 5

除了你指出的那个之外，我认为没有这样的工具。我认为有一个很好的理由：它可能不是测试每个输出是否适用于适用环境的最佳方法。

从阅读该工具开始，似乎前提是将随机xss向量插入数据库，然后浏览应用程序以查看是否有任何这些向量成功。至少可以说，这是一种命中与错过的方法。

我认为，更好的想法是执行代码审核。

您可能会发现查看http://owasp.org中可用的一些资源（即应用程序安全验证标准（ASVS），测试指南和代码审查指南）会很有帮助。