Dans ce billet je vais présenter le paquet XSSER sous Kali Linux qui permet de diagnostiquer si certain de vos sites peuvent être victime de failles XSS. Les failles XSS sont décrite comme des vulnérabilités permettant à l’attaquant d’injecté du code et ainsi permettre des actions non désiré pour un visiteur. On peut ainsi citer le vol de cookies, la redirection vers une page de phising ou autres …
Les failles XSS sont généralement présente dans les variables passés en URL.
EX :
devient
Pour cette exemple je me suis contenté d’inscrire brutalement des balises HTML afin de faire comprendre l’idée. On peut cependant faire passer sous plusieurs formes des arguments. XSSER permet de tester toutes (ou presque) les combinaisons possibles de failles XSS.
Ainsi on va lancer l’interface graphique de l’outil via, xsser — gtk.
Dans ce billet je testerai un site wordpress local avec un formulaire de recherche personnel que j’ai développé, je vais ainsi testé si j’ai bien pensé à contrôler et vérifier les variables d’un utilisateur. Une fois lancé l’interface se présente de la façon suivant :
En vers les options à cocher, Intruder spécifie qu’il faut cibler la cible donné juste à droite (entouré en rouge). Automatic permet d’automatiser toute la procédure et crawler parcours les liens disponibles sur la page cible.
Lors du clique sur Fly XSSER procède au scan via une ligne de commande similair à celle ci-dessous :
L’interface graphique vous permet d’ajouter des options plus facilement. Lorsque le scan est terminé un rapport est disponible sur les différentes failles trouvées. (ou non)
