XSSFinder 项目常见问题解决方案

XSSFinder 项目常见问题解决方案

xssfinder XSS discovery tool 项目地址: https://gitcode.com/gh_mirrors/xs/xssfinder

项目基础介绍

XSSFinder 是一个基于 Chrome Headless 的 XSS 漏洞发现工具，主要用于动态语义分析网页中的 JavaScript 源码，通过 Hook 关键点和污点分析来检测 Dom-Based XSS 漏洞。该项目具有极低的误报率，通过监听浏览器对话框弹出事件等进行验证。XSSFinder 支持被动代理模式（即将支持主动爬虫扫描），并可以通过 Dingbot 进行漏洞通知。

该项目的主要编程语言是 Go，同时也使用了 JavaScript 和 HTML。

新手使用注意事项及解决方案

1. 安装 Go 环境

问题描述： 新手在使用 XSSFinder 时，可能会遇到 Go 环境未安装或配置不正确的问题，导致无法正常编译和运行项目。

解决步骤：

1. 下载并安装 Go： 访问 Go 官方网站 下载适合你操作系统的 Go 安装包，并按照官方指南进行安装。
2. 配置环境变量： 安装完成后，确保将 Go 的安装路径添加到系统的环境变量中。例如，在 Linux 或 macOS 上，可以在 ~/.bashrc 或 ~/.zshrc 中添加以下内容：

   export PATH=$PATH:/usr/local/go/bin
   export GOPATH=$HOME/go
   export PATH=$PATH:$GOPATH/bin
   

3. 验证安装： 打开终端，输入 go version，如果显示 Go 的版本号，说明安装成功。

2. 证书信任问题

问题描述： 在使用 XSSFinder 的被动代理模式时，可能会遇到证书未信任的问题，导致无法正常进行中间人扫描。

解决步骤：

1. 下载证书： 访问 http://xssfinder.ca 下载证书文件。
2. 信任证书： 将下载的证书文件导入到系统的证书管理器中。具体步骤如下：
   • Windows： 双击证书文件，选择“安装证书”，然后选择“本地计算机”，按照向导完成安装。
   • macOS： 双击证书文件，打开“钥匙串访问”应用，将证书拖入“系统”钥匙串，并双击证书，将“信任”设置为“始终信任”。
   • Linux： 使用 certutil 工具将证书添加到系统的信任列表中，例如：

     certutil -d sql:$HOME/.pki/nssdb -A -t "C,," -n xssfinder -i xssfinder.crt
     

3. 配置 Dingbot 通知

问题描述： 新手在使用 XSSFinder 时，可能会遇到 Dingbot 通知配置不正确的问题，导致无法接收到漏洞通知。

解决步骤：

1. 获取 Dingbot 配置： 在 DingTalk 中创建一个机器人，获取机器人的 token 和 secret。
2. 配置通知文件： 创建一个 notifier.yaml 文件，内容如下：

   dingbot:
     token: xxx
     secret: xxxx
   

3. 运行 XSSFinder： 使用 --notifier-yaml 参数指定通知文件，例如：

   ./xssfinder --notifier-yaml notifier.yaml mitm
   

通过以上步骤，新手可以顺利解决在使用 XSSFinder 项目时可能遇到的常见问题。

xssfinder XSS discovery tool 项目地址: https://gitcode.com/gh_mirrors/xs/xssfinder