trufflesecurity/xsshunter

# XSSHunter ## *5分钟即可完成设置，且无需日常维护* 搭建 XSS Hunter 以测试和发现盲打跨站脚本漏洞的最快方法 ## 设置（5分钟，请尽量不要粗略浏览） ### 前置条件 * 已安装 `docker` 和 `docker-compose` * 主机至少具有 2 GB 的 RAM * 一个主机名（例如 `host.example.com`），您可以将其映射到服务器的 IP（拥有 DNS 控制权） * *[关于邮件通知]* 要接收 XSS payload 触发的邮件通知，您需要一个具有有效 SMTP 凭据的邮件账户。您可以为此使用许多常规邮件账户，例如 Gmail。如果您不需要邮件通知，则可以忽略此项。 ### 配置您的实例 要设置 XSS Hunter Express，请修改 [`docker-compose.yaml`](https://github.com/mandatoryprogrammer/xsshunter-express/blob/main/docker-compose.yml) 文件，填入您适当的设置/密码等信息。 在启动服务之前，您需要修改以下（位于 [`docker-compose.yaml`](https://github.com/mandatoryprogrammer/xsshunter-express/blob/main/docker-compose.yml) 中的）YAML 字段： 如果您需要邮件通知，则必须配置以下内容： * `EMAIL_NOTIFICATIONS_ENABLED`：保持启用状态以接收邮件通知（您还必须通过以下配置项进行设置）。 * `SENDGRID_API_KEY`：Sendgrid 的 API key * `SENDGRID_UNSUBSRIBE_GROUP_ID`：邮件的退订组 ID 最后，对于注重安全的用户，建议考虑以下配置： * `CONTROL_PANEL_ENABLED`：如果您想最小化实例的攻击面，可以禁用 Web 控制面板。这样一来，您将只能收到 payload 触发的电子邮件（测试结果仍会存储在磁盘和数据库中）。 ### 构建并启动 XSS Hunter Express 完成设置后，只需运行以下命令即可启动服务： ``` # 进入 repo 目录 cd xsshunter-express/ # 在后台启动 postgres docker-compose up -d postgresdb # 启动服务 docker-compose up xsshunterexpress ``` 假设一切顺利，您将在屏幕上看到打印出的管理员密码。使用该密码登录现在托管于 `https://your-hostname.com/admin/` 的 Web 面板。 **注意**：对您的实例发起的第一个 HTTP 请求会比较缓慢，因为服务将自动生成 TLS/SSL 证书。这通常只需要约 15 秒。 ## 功能 ## 截图 ## 安全漏洞 在本服务中发现了安全漏洞？干得漂亮！请发送电子邮件至 `mandatory(at)gmail.com`，我会尽快修复它。

标签：Docker, Maven, Web安全, XSS漏洞检测, 安全测试, 安全防御评估, 攻击性安全, 测试用例, 漏洞验证, 版权保护, 蓝队分析, 请求拦截