XSS平臺搭建
簡介：
在實施xss攻擊的時候，需要有一個平臺用來收集攻擊獲得獵物（cookie，用戶名密碼等）；xss平臺就是這樣一個用於收取cookie，賬號等信息的平臺；可以使用外網的xss平臺來測試外網的網站；也可以自己在本地搭建xss平臺，測試本地搭建的web網站DVWA的漏洞
試驗中，使用的xss平臺是xsser
直接創建項目：在網站有xss的地方插入項目中的代碼，執行的時候會把對應的信息發送到平臺上。具體看平臺上的說明。
基礎認證釣魚模塊：
插入xss後，用戶訪問的時候會彈出一個登陸框，用於輸入用戶名和密碼。
如果用戶粗心地輸入了自己的賬號和密碼，那麽就可以在平臺上看到輸入的信息。
一、下載源碼
把這些文件復制到網站目錄xsser中
二、配置環境
步驟：
1、修改config.php裏面的數據庫連接字段，包括用戶名，密碼，數據庫名，訪問URL起始和偽靜態的設置。
1.1在phpmyadmin中新建xssplatform數據庫
1.2修改訪問的url起始地址為:http://localhost/xsser 也就是目錄名
2、在web根目錄下有一個xssplatform.sql，在phpmyadmin中創建好數據庫後導入庫。
2.1phpmyadmin導入SQL
執行之後會多出9張表
3、進入數據庫執行語句修改域名為自己的：
UPDATE oc_module SET
code=REPLACE(code,‘http://xsser.me‘,‘http://localhost/xsser‘)
4.修改themes\default\templates\register.html中的提交按鈕的源碼為：註如果修改了下面註冊的頁面就不用修改了!!
行53
<input id="btnRegister" type="button" onclick="Register()" value="提交註冊" />
修改為
<input id="btnRegister" type="submit" value="提交註冊" />
備註：XSS1.7版本這裏不需要修改
5.rewrite規則
在web根目錄下建立.htaccess偽靜態文件
並加入以下內容、註意如果偽靜態沒配置成功，那麽下面xsser生成的項目中的URL將不能訪問!!!
範例：
Apache：
- RewriteEngine On
- RewriteRule ^([0-9a-zA-Z]{6})$ /xsser/index.php?do=code&urlKey=$1 [L]
- RewriteRule ^do/auth/(\w+?)(/domain/([\w\.]+?))?$ /xsser/index.php?do=do&auth=$1&domain=$3 [L]
- RewriteRule ^register/(.*?)$ /xsser/index.php?do=register&key=$1 [L]
- RewriteRule ^register-validate/(.*?)$ /xsser/index.php?do=register&act=validate&key=$1 [L]
- RewriteRule ^login$ /xsser/index.php?do=login [L]
Nginx：
- rewrite "^/([0-9a-zA-Z]{6})$" /index.php?do=code&urlKey=$1 last;
- rewrite "^/do/auth/(\w+?)(/domain/([\w\.]+?))?$" /index.php?do=do&auth=$1&domain=$3 last;
- rewrite "^/register/(.*?)$" /index.php?do=register&key=$1 last;
- rewrite "^/register-validate/(.*?)$" /index.php?do=register&act=validate&key=$1 last;
三、使用
我們訪問這個地址:http://localhost/xsser/index.php
在註冊之前、首先把註冊配置修改為normal進行保存
然後就可以註冊了、邀請碼隨便填寫，其他的都是註冊的時候需要的
就完成了註冊。註冊成功之後他會跳到這個頁面
然後我們到數據庫中的user表裏面
四、測試
新建一個項目、測試其中的地址
點擊下一步
點擊下一步創建完成。
能訪問:
說明Apache偽靜態配置成功、如果偽靜態沒有配置成功就會出現下面的錯誤
到此，xss平臺搭建完成
XSS平臺搭建