A-A+

【升级版】最新特别完善版XSS平台源代码

2016年09月24日 11:24 学习笔记 评论 61 条 共8099字 (阅读65,242 views次)

【注意:此文章为博主原创文章!转载需注意,请带原文链接,至少也要是txt格式!】

程序说明:程序基于xsser.me修改,,,程序框架:oldcms。下载地址在最下方,建议先阅读一下,下面的内容。

程序涵盖近40个模块。。。其中有些模块这里必须做一下介绍!!!以免这么不错的工具你都给遗忘了。
对于本程序任何有关问题请移步至:https://woj.app/3177.html 查看或者提问。
这里首先要恭喜一下,本人发布的这个完善版本XSS平台下载量已经突破1000。使用量估计在1300+ (只是通过流量统计还有土司论坛、百度搜索关键词等统计的,请勿做非法测试,24小时内请自主删除,目的,致力于让自己写的程序更安全。)  

本人郑重声明,程序只在土司论坛还有本博客发布过,其他任何论坛等地方都为转载,如有任何问题与本人无关!!!

下载地址在最下方,建议先阅读一下,下面的内容。

 

 

-------↓↓↓↓下面所有修复信息只是本人记录使用,下面修复后的版本并未提供下载↓↓↓↓-------

--------------------2021-07-24[功能增加]-----------------------------

真的不想在管理这个破程序了,都想用Python重写了。

一、修复最新chrome登录重写问题,最新的chrome对cookie更严格了

二、新增跨系统email发信调用API接口

--------------------2020-08-20[功能增加]-----------------------------

因本人空间不支持发送Email通知,所以增加了几个功能。

一、增加了‘方糖’接口,可以填写你获取到的sckey,如果获取到最新XSS可以随时通过'方糖公众号'进行消息推送;

二、增加XSS平台个人专用公众号,并支持平台与公众号绑定,绑定后可通过公众号随时进行XSS平台查询等操作,超级方便!!!

--------------------2020-05-01[修复漏洞]-----------------------------

一、此问题仅仅只出现在自用XSS平台版本中,本人公布的没有任何问题,自用的平台出现了严重的漏洞,现已修复。

--------------------2019-11-25[修复BUG]-----------------------------

一、修复“超强默认模块”的截图功能,网页截图数据太大导致服务端接收错误,通过治标的方法,如果太大只获取部分页面图片,更多的就放弃了。

--------------------2018-08-22[修复BUG]-----------------------------

一、更新了图片的展示方式。(默认打到对方当前页面的截图展示方式更人性,其实这个问题早都知道,因为各种原因吧,才修复。)

二、优化了一些功能。

--------------------2018-07-04[修复BUG]-----------------------------

一、解决部分网站加载XSS code出现“CAUTION: Provisional headers are shown”问题。

--------------------2018-06-19[修复BUG]-----------------------------

一、原来XSS平台与博客是一体,现在彻底分离开来。(XSS平台与博客为不同个体)

二、修复无法创建模块的BUG。

--------------------2018-05-23[修复漏洞,增加功能]-----------------------------

一、自测发现XSS平台有XSS漏洞。(仅是自己这个版本有问题,公布的版本无这个问题,因两次编码转换导致的此问题)。

二、优化完善代码。

三、新增插件:图片XSS模块二

四、新增XSS爬虫模块,神器。(当对方中招后,程序自动爬去当前页面所有链接,获取对应链接的html源码回传至平台。两种可以实现,暂时平台采用第一种,JS脚本实现,弊端容易被管理员发现,好处内外网通杀。第二种,XSS平台携带cookie访问,好处隐蔽性强,弊端是内网就没辙,同时会对XSS平台服务器造成压力。) 详细说明:https://woj.app/3431.html

--------------------2017-12-04[修复BUG]-----------------------------
一、平台增加Email发信API,可以通过外部网络发送Email。
二、升级平台,XSS平台程序无错支持最新PHP7.1版本。

----------------2017-08-05[flash获取cookie功能修复]----------------------------
修复了swf文件获取cookie的问题,使用post方式。(get方式无法获取太长的数据)

-----------------2017-08-05[功能升级]--------------------------------

更新完善XSS平台默认获取XSS模块。新增获取当前屏幕截图,直接保存图片至平台。现在默认模块已经可以做到以下几点:

一、获取当前URL地址。

二、获取来路URL地址。

三、获取cookie数据。

四、获取当前网页编码。

五、获取对方操作系统。

六、获取对方屏幕分辨率。

七、获取网页页面截图。

八、获取对方网页源代码。

九、获取对方浏览器信息。

十、获取对方IP及地理位置信息。
--------2017-08-04[重大更新]----------------

一、修复2处BUG,其中一处为重大BUG(也可能是我环境导致的,php5.6),非安全问题只是Bug。

二、统一XSS平台源码编码方式,全部为UTF-8

三、统一测试XSS平台所有模块,90%无误。

四、完善XSS平台部分模块功能。

五、增加新插件【新表单(登陆)劫持插件】,可劫持整个页面所有input选项标签。非常实用,亲测无误。如下图:

新表单(登陆)劫持插件

------------------------2017-07-06[功能升级]----------------------------------------------------

修复导出(下载)平台记录为excel文件功能。(这个功能有问题了都没人告诉~~哎这个功能不常用,但是暂时还是保留吧)
------------------------2017-06-30[功能升级]----------------------------------------------------

修复多个BUG:
新增插件:后台(内网)打穿神器→xss蠕虫
去掉无用的浏览器插件获取,改为获取对方当前页面html源码。
新增HTTPS,现在平台http与https都可通用。(本来想发一个XSS平台的截图,想想还是算了。)
------------------------2017-05-15[功能升级]----------------------------------------------------

修复BUG:

一、获取手机访问的cookie无法入库。
------------------------2017-05-18[功能升级]----------------------------------------------------

功能升级:

一、更改获取cookie默认模块,完善模块功能,完善获取信息。。

------------------------2017-05-12[功能升级]----------------------------------------------------

功能升级:

一、修复html截屏插件,已彻底完善。可对对方网页进行截屏。

二、修复数据小bug

------------------------2017-05-09[功能升级]----------------------------------------------------

功能升级:

一、增加持久XSS功能,说明地址:https://woj.app/1907.html

二、修复一些其它小BUG问题。

------------------------2017-04-14[功能升级]----------------------------------------------------

功能升级:

一、增加项目所有cookie导出excle,方便用户备份所有数据到本地,然后清空平台数据。

------------------------2017-04-13[功能升级]----------------------------------------------------

一、增加密码找回功能,输入用户名及当时注册的邮箱就可以找回账号密码,一天可以找回3次。

二、增加"URL跳转 (地址栏不变)"插件,具体请看:https://woj.app/1820.html

------------------------2017-03-20[功能升级]----------------------------------------------------

一、增加插件:form表单劫持(通用明文记录)

此功能可以劫持登陆、注册等提交数据的form表单,简单实用专业打账号密码用呦。在劫持表单的同时还会劫持当前的cookie。同时也修复此插件cookie劫持获取不全的问题。使用方法(https://woj.app/1684.html) 百度有这个模块

------------------------2017-03-03[功能升级 - 此升级版本暂未放出  仅自己平台使用中]--------------------

一、修复域名处分页BUG。

二、新增【图片探测】功能。

图片探测功能讲解:你在渗透过程中是否遇到过这种状况,已经得知对方网址的后台账号和密码,但是各种找不到后台? (或者说对方网站存在注入,你却因为找不到后台无法提权?)对方网站还不存在XSS,你就算暴力破解也无从下手?那么你需要试试此平台的最新功能,【图片探测】,只需要想尽办法让对方能看到你的图片即可。或者说加载图片即可<img src="https://woj.app/xxx/xxx.jpg" /> ,现在很多网站都已经做足了过滤XSS的措施,那么试试最新的图片探测功能吧,相信它会给你,你想要的惊喜。(成功率70%+)  使用方法(https://www.t00ls.net/thread-38560-1-2.html 或者 https://woj.app/1785.html)  就是想尽办法让对方加载你的图片。https://www.t00ls.net/thread-38560-2-1.html 12楼已经说明发放及原理。

废话不多,先看图测试的可是某SRC平台(探测到了对方的后台地址及一些信息):

 

在看看XSS平台代码处(只需要在[查看源码]处,即可查看到对应项目的代码):

------↑↑↑↑上面所有修复信息只是本人记录使用,上面修复后的版本并未提供下载↑↑↑↑-------

 

 

 

---------------------------【模块功能介绍】放出的版本涵盖下面介绍的功能----------------------------

【一】、社工模块(实际不叫社工模块,只不过后期会更完善暂时这么叫)

很多程序开发以为后台验证了cookie,就算XSS代码进入后台,获得了cookie也无法使用登录后台!!!还有些朋友直接把cookie设置成httponly,你真以为这样就算完事了???来,看下图:::(此处不解释)

xss社工模块

xss社工模块

试想,如果我获取到了你的,淘宝账号,淘宝名称,新浪邮箱,网易邮箱,QQ号码,微博ID,百度账号,百度名称等等。如果这些数据通过社工加以深度利用,请问后果是怎么样的???(某黑产朋友跟我说现在网上已经可以通过QQ查手机号[需要付费],通过QQ查真实姓名[个人估测这个应该是通过QQ群关系实现的])。。。如果一个XSS平台集成了这个功能,我不光获取你当前cookie我还能收集你这些数据。。。。。。剩下的同志,麻烦你自己发挥想象!这个模块告诉我们,我并不一定需要你的cookie。很多大型公司内网就是这么沦陷的!

 

【二】、xss+csrf+redis自动化入侵内网 (模块作者土司UID: 7272)

获取内网IP

获取内网IP

如果通过某些方法知道你的内网IP,利用这个XSS模块,直接自动化打你整个内网段。直接反弹shell (我不需要用你的cookie直接打你的内网,直接shell可以么。)

里面还有很多实用的模块【键盘记录】、【源码获取】、【CSRF模块】等等,请你不要小看这些模块的威力好么,如果连起来用的话(近40个模块,不怕你做不到,真怕你想不到)。。。

--------------下面说说程序完善及增加了哪些功能-------------

【一】、增加分页功能

xss平台分页功能

xss平台分页功能

相信大家都知道,点进项目里面,有多少条信息,就显示多少条信息,这里有2000多条信息,它就一个页面显示2000多条信息,分分钟卡爆了,页面巨卡{仁兄,你想点展开?你试试吧,页面都能卡处屎来。}。完善后如下图:

xss平台列表分页功能

xss平台列表分页功能

【二】增加个人用户可修改用户email,可修改密码,可见发邮件服务器及邮箱

xss平台完善个人设置功能

xss平台完善个人设置功能

【三】、增加可对某个XSS项目进行屏蔽

(增加此功能的主要原因,例如某个代码XSS到了前台,结果前台页面流量很大,很多无用的垃圾XSS全都入库了,可以在此设置过滤无用的不接收,不入库。这样就只会接受可能与管理相关有用的了。注意,只是不入库,而且只针对用户自己)

xss平台个人屏蔽功能

xss平台个人屏蔽功能

【四】、完善创建模块处代码入库会被编码问题

(网上大大小小的平台,我测试了10个之多,最少有80%都存在问题,因为平台本身就为了防止注入,或者XSS。。。模块入库,因为入库的时候编码导致的错误。这里不截图了。)

【五】、完善获取IP,IP地理位置功能

xss平台IP获取功能

xss平台IP获取功能

【六】、增加超级管理后台增加多email随机发信功能

xss平台随机启用邮箱发信功能

xss平台随机启用邮箱发信功能

【七】、超级管理后台全局管控功能

xss平台全局管控功能

xss平台全局管控功能

主要是为了防止不小心插到政附等机关网站,如果检测到域名和与特征字符一致,则不加载xss code,与上面的不一样哦,此设定跟前台设定不一样,为整站设定重点是不加载xss code代码,(前台的黑名单功能只针对用户自己和自己的固定的项目,而且并非不加载,只是不入库。)。仔细看图中的说明。

--------------------感谢土司论坛ID:uncia  土司论坛ID:52python  贡献及分享的模块----------------

xss模块列表一

xss模块列表一

xss模块列表二

xss模块列表二

 


 

程序源码在土司平台首发(为了充分发挥人民币玩家,与普通玩家的巨大差别。现将程序模块不设置权限,放出。除了基本的源码和3个基本的接受cookies的模块,别无其他!!!如果想要非常完善多功能模块的平台,请您做一位人民币玩家,去土司花积分下载。。千万别骂我,直接打我就好了。。。)。

----------------只要您下载的XSS平台源码与下诉值不同,那绝对非本人提供的无后门源码---------------------

 

文件哈希值(含模块土司收费版本):

CRC-32 39514afe
MD5 Hash 0160c042d5a6b85da1af68bb36cd4a59
SHA1 Hash 34402361a8337fd986d375eb0472ccde75074011
SHA256 Hash 9e52a5ecfc18dce6d5bcfd7dd91a0f00a589de4eceb830ee52faee9c95195d06
SHA3-256 Hash b2f5f0fb53f107a1429078780a4c31c729c048cc0570b5c66c970a6e4a56222a

收费版下载地址:https://www.t00ls.net/thread-35990-1-1.html

 

 

文件哈希值(免费不含模块免费版本):

CRC-32 1a0a0e52
MD5 Hash 28ad542c231e9c330851ce8945bd92a3
SHA1 Hash 72d6704fbbee55edad2633f892fea5243cf6b3db
SHA256 Hash b05fe0eb6cdc6ef7e155bd0c84c1fe3dbde1208e3e67abe89879b13c59fff022
SHA3-256 Hash 79985130004913235c6664bd21973d30f39fc87f071cb773ed6dc41976ff7390

 
 
免费版(含默认模块)github地址:https://github.com/sysalong/xss_pt 无任何密码,直接可用

如果你的XSS平台安装及使用过程中遇到困难,建议查看:各种XSS平台问题锦集 https://woj.app/3177.html

----------------只要您下载的XSS平台源码与上诉值不同,那绝对非本人提供的无后门源码---------------------

 

在线验证文件哈希值:http://www.atool.org/file_hash.php

收费版本与免费版本区别:::免费版本只含3个基本模块接受cookie,收费版本具有近40个模块,可供学习和使用!

若无法收取邮件,请考虑您的PHP.ini 是否开启  extension=php_sockets.dll

默认应该是不会发送邮件,请个人设置中开启发送邮件即可。

 

 

本人土司论坛地址:https://www.t00ls.net/members-profile-7520.html

布施恩德可便相知重

微信扫一扫打赏

支付宝扫一扫打赏

×

61 条留言  访客:61 条  博主:0 条

  1. 七寸往事

    dalao,我在土司下载你的收费版源码,打到cooikes右边有ip跟地址显示,但是我网站接入了CDN,显示的是CDN的ip跟地址,很苦恼啊,能解决吗?

    • gdd

      有,需要更改一下获取IP属性的地方。。

      • 七寸往事

        脚本小子呀,网上搜了下,改了之后打不到cooike了,dalao我加你qq了,能帮忙看下么

  2. 333

    百度云链接失效了麻烦修复一下,收费版没有吐司账号

    • gdd

      感谢提示,已经更新下载链接,最后说一句,基本自带的默认模块已经足够使用了。

  3. jiangsi

    1:大佬我能正常访问首页但是访问 /admin/index.php的时候就会出现 Access Denied 这个错误,请问这个怎么解决啊,主页是能正常访问,
    2:另外注册账号的那个邀请码要去哪里搞啊,或者说在那张表里面自己建?

  4. 为什么

    为什么收费版的文件修改时间都是2016年呢? 不是说更新到2018年了么

    • 虾米

      后续的更新并没有对外分享源码。。。 分享的程序大概在2016年末。

      • 为什么

        收费版的也不更新么? 😕

        • gdd

          所谓“收费”并非RMB,只是论坛的虚拟币而已。那个东西只是一个限制而已。。。

  5. 赌神

    我想购买收费版,怎么联系你?

    • gdd

      土司论坛 可以下载的。 而最新版本我还没有公布,暂时没有下载。

  6. test

    dalao好,很想升级为rmb玩家,但无奈与阅读权限不够。。。无法打开下载的帖子。
    能否有别的方式可以下载?
    😥

  7. vds

    那个免费版的百度云解压后文件夹都是空的

  8. 微尘

    老哥,为什么设置好后打开首页xss.php是空白呢?我都按步骤设置的啊

  9. 布丁

    大佬 图片模块没有 你分享的给个下载地址 我没有吐司号 还有就是 域名缩短失效了怎么修复

  10. 路人甲

    这什么垃圾平台

  11. 马栏山

    什么时候支持php7就好了。

  12. aa

    你好,免费版解压密码是啥,,

给我留言取消回复