网站建设、公众号开发、微网站、微商城、小程序就找牛创网络 !

7*24小时服务专线： 152-150-65-006 023-68263070 扫描二维码加我微信

网络安全工具团结互助，让我们共同进步！

当前位置：主页 > 技术资讯 > 工具 > 网络安全工具 >

我们的优势： 10年相关行业经验，专业设计师量身定制设计师一对一服务模式，上百家客户案例！企业保证，正规流程，正规合作 7*24小时在线服务，售后无忧

NoXss：Web安全工程师用于批量检测xss的脚本工具

文章来源：重庆网络安全围观次数：

分享到:

摘要：NoXss是Web安全工程师用于批量检测xss隐患的脚本工具。NoXss使用多进程协程支持高并发性，并且可以出色地完成此任务。从实用主义开始，NoXss很小巧。

NoXss是Web安全工程师用于批量检测xss隐患的脚本工具。它主要用于批量检测，例如甲方的内部安全检查。手动分析数千万个url资产是不现实的。 NoXss使用多进程协程支持高并发性，并且可以出色地完成此任务。从实用主义开始，NoXss很小巧。在批处理测试方面，NoXss是一个不错的选择。

NoXss主要使用“符号关闭”来检测xss的隐患，并使用基于“反射位置”的有效负载检测（目前总共有8个），与绒毛相比减少了很多盲目性。例如，当request参数的值出现在响应片段中并以双引号形式关闭时，则NoXss将使用xssjs“；此有效负载；如果以单引号形式将其关闭，则xssjs'为用过的；进行测试。

优点

1.支持DOM类型的xss

NoXss支持使用Chrome（推荐）和Phantomjs（默认）浏览器来对抗DOM类型的xss。它还支持多个进程，也就是说，多个浏览器可以同时工作，但是浏览器的资源消耗通常很高。 -browser选项意味着较慢的扫描速度和较高的CPU内存使用率。

2.多进程协程支持高并发

＃指定进程数

python start.py --url url --process 8

＃指定协程数

python start.py --url url --coroutine/-c 300

丢失扫描的时间消耗主要集中在网络IO上。 NoXss支持用户自行配置进程和协程的数量。应该注意的是，协程的并发进程数取决于网络情况。如果配置太高，可能会出现太多网络。已阻止，防止检测到xss。

3.使用基于位置的有效负载

模糊技术通常非常盲目，不适合批量检测。 NoXss当前确定仅使用8个有效负载，所有有效负载均基于参数反射的位置。更少的有效负载意味着更少的测试案例和更快的扫描速度。

4.接口尺寸的重复数据删除

对于批处理测试，重复数据删除是一项重要的任务。除了删除各种静态资源之外，NoXss还使用该接口作为重复数据删除URL的维度。该接口由多个因素决定，例如域名，端口，路径和参数键值对。在此过程中，NoXss还概括了一些相似的属性。

5.与Burpsuite合作

NoXss支持导出Burpsuite通信以进行扫描：

对于渗透测试人员来说，这是一个更友好的功能。但是不要对NoXss期望太多，它不能对更复杂的xss（例如存储类型）执行任何操作。

6.支持配置cookie，引用和其他请求头

在批处理检测过程中，通常必须保持登录状态。一些应用程序后端还会检查Referer甚至其他一些自定义HTTP请求标头。 NoXss支持用户配置以下内容：

python start.py --url url --cookie cookie

默认情况下，NoXss将基于当前扫描的URL自动添加Referer标头。

7.辅助手动分析

NoXss将在扫描过程中将流量保存到流量目录。此外，参数反映结果（.reflect），重定向请求（.redirect）和网络错误（.error）将存储在流量目录中。。扫描完成后，安全工作者可以轻松地使用这些“中间文件”进行分析。

安装和使用

NoXss基于python2，主要用于批处理检测。 Centos的安装如下：

yum install flex bison phantomjs

pip install -r requirements.txt

Ubuntu:

apt-get install flex bison phantomjs

pip install -r requirements.txt

其他平台安装参考：https://github.com/lwzSoviet/NoXss/tree/master#install

如果要将Chrome用作检测浏览器，则需要手动安装Chrome，下载相应的驱动程序并设置环境变量。您可以使用

python start.py --check

检查浏览器是否正确安装。

批量检查：

python start.py --file ./url.txt --save

检测单个网址：

python start.py --url url

使用浏览器：

python start.py --url url --browser = chrome

扫描Burpsuite流量：

python start.py --burp ./test.xml

总结一下

就漏洞而言，没有很多类型的漏洞适合扫描，并且仍然需要手动挖掘更多的安全问题。但是，对于某些简单漏洞，该工具可以节省人工成本。如果每天有成千上万的URL需要测试，那么移交NoXss计划任务可能是一个不错的选择。最后，我要衷心感谢工具作者。

本文由重庆网络安全整理发布,转载请保留出处，内容部分来自于互联网，如有侵权请联系我们删除。

相关热词搜索：NoXss，web安全工程师批量检测 xss 脚本工具

上一篇：Snake:一种新的勒索软件，针对全球企业网络
下一篇：渗透测试经验分享:Redis+Getshell

关于我们

重庆牛创网络科技有限责任公司是一群技术强大、思维活跃、拥有创新精神的年轻人创立，公司致力于为企业提供全面、周到、专业的互联网解决方案，提供网站建设、网络推广、网络安全审计、wifi营销认证、网站运营维护、域名注册、虚拟主机、企业邮局、企业形象设计等多种信息产品和服务。

联系我们

公司电话： 023—68263070
办公地址：重庆市北碚区金华路399号
邮箱：120481297@qq.com
技术咨询：15215065006

“互联网+”方案

重庆网站建设

备案图标渝ICP备19004889号-1 渝公网安备 50010902000896号

行业安全认证

网络安全工具团结互助，让我们共同进步！

NoXss：Web安全工程师用于批量检测xss的脚本工具

热门资讯

关于我们

联系我们

“互联网+”方案