Bxss – 盲 XSS 注入工具

Bxss是一款基于Python开发的盲XSS注入工具，专为渗透测试开发。该工具支持多种注入场景，如Cookie、Referer、X-Forwarded-For等。此外，Bxss还支持多线程，可以提高注入效率。

安装与使用

使用Bxss前需先安装Python 3及相关依赖库。

使用以下命令安装依赖库：

pip install requests argparse argparse-color-formatter

使用以下命令启动Bxss：

python bxss.py -u http://example.com -c cookie.txt -p payload.txt

其中，参数说明如下：

• -u：目标网站URL
• -c：Cookie文件路径
• -p：Payload文件路径

主要功能

Bxss主要有以下功能：

盲注检测

Bxss支持多种盲注检测方法，如时间盲注、布尔盲注、报错盲注等。用户可以根据具体情况选择不同的检测方法。

回显提取

Bxss可以自动提取回显数据，并将其发送到指定的URL。用户可以在控制台中查看回显结果，并对结果进行进一步处理。

Cookie注入

Bxss支持在Cookie中插入XSS代码，并自动检测注入是否成功。

Referer注入

Bxss支持在Referer中插入XSS代码，并自动检测注入是否成功。

X-Forwarded-For注入

Bxss支持在X-Forwarded-For中插入XSS代码，并自动检测注入是否成功。

运行截图

注意事项

使用Bxss时需注意以下事项：

1. 仅在授权的情况下使用本工具
2. 不要用于非授权的网站测试
3. 高并发会对被攻击目标造成较大的网络负荷，请谨慎使用

参考链接

Bxss GitHub地址

代码片段

import requests
from argparse_color_formatter import ColorHelpFormatter


def detect_time_based_blind_SQL_injection(url, payload):
    s = requests.Session()
    payload = payload.replace("1", "if(1=1)sleep(5)")
    params = {"id": payload}
    start_time = time.time()
    response = s.get(url, params=params)
    end_time = time.time()
    response_time = end_time - start_time
    if response_time > 4:
        return True
    else:
        return False


print(detect_time_based_blind_SQL_injection("http://example.com?id=1", "1' and 1=1--"))

以上为Python代码片段，用于检测时间盲注注入。