phpxssctf,GitHubqiaofei32/BlueLotus_XSSReceiver:XSS平台CTF工具Web安全工具

XSS数据接收平台(无SQL版)

如从旧版本升级&＃xff0c;请务必先阅读Readme

平台说明

本平台设计理念: 简单配置即可使用&＃xff0c;无需数据库&＃xff0c;无需其他组件支持&＃xff0c;可直接在php虚拟空间使用

SAE用户请切换到sae分支&＃xff0c;并阅读sae分支下的README.md

安装说明

自动安装

安装http server与php环境(ubuntu: sudo apt-get install apache2 php5 或 sudo apt-get install apache2 php7.0 libapache2-mod-php7.0)

上传所有文件至空间根目录

根据提示配置xss平台

在配置前&＃xff0c;需要赋予xss数据存储路径、js模板存储路径、我的js存储路径写权限&＃xff0c;以及平台根目录写权限(sudo chmod 777 -R ./)

当有请求访问/index.php?a&＃61;xxx&b&＃61;xxxx&＃xff0c;所有携带数据包括get&＃xff0c;post&＃xff0c;COOKIE&＃xff0c;httpheaders&＃xff0c;客户端信息都会记录

如不做二次开发&＃xff0c;可直接删除根目录下diff、guide、src目录

如果有权限&＃xff0c;请开启Apache中的AllowOverride以使.htaccess生效(可选)

xss数据存储路径将被设置为禁止web访问

js模板存储路径、我的js存储路径将被设置为仅允许访问js文件

手动安装

安装http server与php5环境(ubuntu: sudo apt-get install apache2 php5)

上传所有文件至空间根目录

将config-sample.php重命名为config.php&＃xff0c;修改config.php&＃xff0c;指定xss数据、我的js、js模板的存放目录&＃xff0c;以及数据是否启用加密、加密密码、与加密方法(详细说明见文件注释)

define(&＃39;PASS&＃39;, &＃39;2a05218c7aa0a6dbd370985d984627b8&＃39;);

define(&＃39;DATA_PATH&＃39;, &＃39;data&＃39;);

define(&＃39;JS_TEMPLATE_PATH&＃39;, &＃39;template&＃39;);

define(&＃39;MY_JS_PATH&＃39;, &＃39;myjs&＃39;);

define(&＃39;ENABLE_ENCRYPT&＃39;, true);

define(&＃39;ENCRYPT_PASS&＃39;, "bluelotus");

define(&＃39;ENCRYPT_TYPE&＃39;, "RC4");

PASS为登录密码&＃xff0c;可用php -r &＃39;$salt&＃61;"!KTMdg#^^I6Z!deIVR#SgpAI6qTN7oVl";$key&＃61;"你的密码";$key&＃61;md5($salt.$key.$salt);$key&＃61;md5($salt.$key.$salt);$key&＃61;md5($salt.$key.$salt);echo $key;&＃39;生成密码hash

赋予DATA_PATH&＃xff0c;MY_JS_PATH&＃xff0c;JS_TEMPLATE_PATH对应的目录写权限

当有请求访问/index.php?a&＃61;xxx&b&＃61;xxxx&＃xff0c;所有携带数据包括get&＃xff0c;post&＃xff0c;COOKIE&＃xff0c;httpheaders&＃xff0c;客户端信息都会记录

可访问admin.php登录查看记录的数据&＃xff0c;初始登录密码bluelotus

如不做二次开发&＃xff0c;可直接删除根目录下diff、guide、src目录

如果有权限&＃xff0c;请开启Apache中的AllowOverride以使.htaccess生效(可选)

DATA_PATH被设置为禁止web访问

MY_JS_PATH与JS_TEMPLATE_PATH被设置为仅允许访问js文件

Docker部署

Build & Run

git clone https://github.com/firesunCN/BlueLotus_XSSReceiver.git && cd BlueLotus_XSSReceiver

docker build -t bluelotus .

docker run -d -p 80:80 bluelotus

Login

访问 http://ip/admin.php 密码 bluelotus

目前支持功能

自动判断携带数据是否base64编码&＃xff0c;可自动解码

记录所有可记录的数据&＃xff0c;并可根据ip判断位置&＃xff0c;根据useragent判断操作系统与浏览器

新消息提醒&＃xff0c;仿QQ邮箱新消息提醒框&＃xff0c;可实时获得数据

支持简单的查找功能

除了style允许unsafe-inline外启用CSP

挑战应答式的登录校验&＃xff0c;session绑定ip与useragent

密码输错五次封IP&＃xff0c;误封请删除DATA_PATH/forbiddenIPList.dat文件

可以通过平台直接维护用于xss的js文件(详细说明见下)

js公用模板模块

用户可添加一些js通用模板&＃xff0c;在我的js里可随时插入js模板

采用ace编辑器&＃xff0c;支持js语法高亮&＃xff0c;语法错误检查

使用js_beautify实现js代码格式化&＃xff0c;可随时格式化js代码

使用jsmin实现js代码压缩&＃xff0c;可随时压缩js代码

支持复制js代码的url到剪切板(需要浏览器支持flash)

提供了一些常用的js模板&＃xff0c;包括前几天心血来潮研究的用js截图&＃xff0c;许多模板都是来自各大xss平台&＃xff0c;但是又记不起来是分别来自哪&＃xff0c;只能再次对各位安全研究人员表示感谢

我的js模块

用户可随时插入js模板

部分整合xssor功能&＃xff0c;方便生成payload&＃xff0c;xssor有跟强大的功能&＃xff0c;大家可以去follow evilcos的github

keepsession功能

需要在config.php开启

如果请求的get或post或COOKIE中带有keepsession&＃61;1&＃xff0c;则这条记录会被keepsession

请设置脚本或者网站监控定期访问keepsession.php

请将COOKIE存在COOKIE参数&＃xff0c;url存在location参数(传递方法可get可post可COOKIE)&＃xff0c;如index.php?keepsession&＃61;1&COOKIE&＃61;aaa&location&＃61;bbb,keepsession.php将会定期使用COOKIE aaa去访问bbb

COOKIE和location参数支持base64编码&＃xff0c;keepsession.php会自动判断&＃xff0c;自动解码

如果不设置location&＃xff0c;将会使用HTTP Referer作为url

keepsession.php使用flock($pid, LOCK_EX|LOCK_NB)实现单例运行(由于windows下不支持无阻塞锁定&＃xff0c;所以最好删除keepsession.php里的set_time_limit(0))&＃xff0c;可自行加上sleep防止keepsession.php被恶意频繁访问

邮件提醒

修改config.php相关配置即可&＃xff0c;默认关闭&＃xff0c;开启后&＃xff0c;每次接收到xss都会发邮件通知&＃xff0c;需要短信提醒的直接把接收邮箱设置为手机邮箱即可

define(&＃39;MAIL_ENABLE&＃39;, false);//开启邮件通知

define(&＃39;SMTP_SERVER&＃39;, "smtp.xxx.com");//smtp服务器

define(&＃39;SMTP_PORT&＃39;, 465);//端口

define(&＃39;SMTP_SECURE&＃39;, "ssl");

define(&＃39;MAIL_USER&＃39;, "xxx&＃64;xxx.com");//发件人用户名

define(&＃39;MAIL_PASS&＃39;, "xxxxxx");//发件人密码

define(&＃39;MAIL_FROM&＃39;, "xxx&＃64;xxx.com");//发件人地址(需真实&＃xff0c;不可伪造)

define(&＃39;MAIL_RECV&＃39;, "xxxx&＃64;xxxx.com");//接收通知的邮件地址

修改数据加密密码&＃xff0c;加密方式

本平台对xss记录、ip封禁列表、js的说明(仅说明)加密&＃xff0c;用户可设置是否加密&＃xff0c;密码以及加密方式(AES、RC4)

3.0版本起配置里的默认加密方式改为RC4(为了效率)

如果需要改密码&＃xff0c;改加密方式&＃xff0c;需要对xss记录、ip封禁列表、js的说明进行重加密才能正常访问这些数据

故根目录下提供了change_encrypt_pass.php用于重新加密xss记录,js的描述,ip封禁列表

请在修改加密方式或者加密密码后执行此文件(如果选择不加密,加密密码可写任意值)

使用前&＃xff0c;请将change_encrypt_pass.php开始的exit()注释掉&＃xff0c;并且在使用前务必做好数据备份以防不测

用法&＃xff1a;在shell下执行

php change_encrypt_pass.php (以前是否加密true/false) (旧加密密码) (旧加密方法AES/RC4) (现在是否加密) (新加密密码) (新加密方法)

例:

php change_encrypt_pass.php true bluelotus AES true bluelotus RC4

php change_encrypt_pass.php true bluelotus AES false xxxx(任意值) AES

也可执行

php change_encrypt_pass.php update (以前是否加密true/false) (旧加密密码)

此命令可将所有“xss记录”转化为加密开启&＃xff0c;密码bluelotus&＃xff0c;加密方法RC4

旧版本升级

不保留数据

如无需保留xss数据&＃xff0c;直接删除原平台&＃xff0c;重新安装即可

保留数据

备份数据

删除原平台&＃xff0c;重新安装xss平台&＃xff0c;配置时&＃xff0c;是否加密&＃xff0c;加密密码与加密方式需要与以前一样(早期版本&＃xff0c;加密方式选AES)

复制原平台DATA_PATH&＃xff0c;MY_JS_PATH&＃xff0c;JS_TEMPLATE_PATH对应的目录&＃xff0c;覆盖新平台的相应目录

升级完成

注&＃xff1a;

如果重新安装xss平台时&＃xff0c;选择的手动安装&＃xff0c;升级步骤如下

备份数据

删除原平台&＃xff0c;重新安装xss平台&＃xff0c;修改config.php配置&＃xff0c;是否加密&＃xff0c;加密密码与加密方式需要与以前一样(早期版本&＃xff0c;加密方式写AES)

执行change_encrypt_pass.php完成重加密的过程

php change_encrypt_pass.php true bluelotus RC4 (配置文件中是否加密) (配置文件中加密密码) (配置文件中加密方法)

修改config.php&＃xff0c;修改是否加密&＃xff0c;新密码&＃xff0c;加密方式

复制原平台DATA_PATH&＃xff0c;MY_JS_PATH&＃xff0c;JS_TEMPLATE_PATH对应的目录&＃xff0c;覆盖新平台的相应目录

升级完成

TODO

支持SAE

多用户(SQL版本)

WebSocket方式通知

src目录说明

static/js与static/css下的js与css文件已压缩

其中jqxcore.js、jqxdata.js、jqxgrid.js、jqxgrid.columnsresize.js、jqxgrid.filter.js、jqxgrid.edit.js、jqxgrid.pager.js、jqxgrid.selection.js、jqxgrid.sort.js、jqxbuttons.js、jqxcombobox.js、jqxdropdownlist.js、jqxinput.js、jqxlistbox.js、jqxmenu.js、jqxscrollbar.js、jqxsplitter.js、jqxtabs.js、jqxtextarea.js、jqxtoolbar.js、jqxwindow.js合并为jqwidgets.min.js

css与js源文件移至src目录下&＃xff0c;方便二次开发

特别说明

前端使用Bootstrap与jQWidgets开发&＃xff0c;(原来用kendo UI&＃xff0c;受限于商业许可&＃xff0c;改用jQWidgets)&＃xff0c;you can use jQWidgets for free under the Creative Commons Attribution-NonCommercial 3.0 License, 但是不可用于商业用途&＃xff0c;如需用于商业用途请购买授权

为实现jqxgrid不支持的功能&＃xff0c;如固定表格高度实现row高度自动调节&＃xff0c;修改了jQWidgets部分代码&＃xff0c;具体修改部分可查看diff文件夹

使用纯真ip库的函数基于Discuz X3.1 function_misc.php上修改而来, 判断客户端操作系统与浏览器的脚本基于原作者&＃64;author Jea杨写的php版本修改而来&＃xff0c;后台整体布局借鉴Kendo UI 的demo NORTHWIND DASH

js代码压缩采用jsmin.js

js代码编辑器采用ace

安装脚本完全参考wordpress的安装程序

Warning: 本工具仅允许使用在CTF比赛等学习、研究场景&＃xff0c;严禁用于非法用途

意见与建议

欢迎大家在使用过程中提出各种宝贵的意见和建议&＃xff0c;以及各种bug&＃xff0c;不胜感激

反馈邮箱firesun.cnatgmail.com