xss - 是否有跨平台工具可以直接将 XSS 攻击写入数据库？

Question

我最近发现 this blog entry在将 XSS 攻击直接写入数据库的工具上。它看起来是一种非常好的方法来扫描应用程序以查找我的应用程序中的弱点。

我尝试在 Mono 上运行它，因为我的开发平台是Linux。不幸的是，它崩溃了 System.ArgumentNullException内心深处Microsoft.Practices.EnterpriseLibrary而且我似乎无法找到有关该软件的足够信息(它似乎是一个单次项目，没有主页，也没有进一步的开发)。

有人知道类似的工具吗？最好应该是:

跨平台(Java、Python、.NET/Mono，甚至跨平台 C 也可以)

开源(我真的很喜欢能够审核我的安全工具)

能够与广泛的数据库产品交谈(最重要的是大的:MySQL、Oracle、SQL Server，...)

编辑:我想澄清我的目标:我想要一个工具， 直接写 结果成功的 XSS/SQL 注入(inject)攻击数据库。这个想法是我想检查我的应用程序中的每个地方是否正确 输出编码 .首先检测并避免数据到达那里是完全不同的事情(当我显示由第三方应用程序写入数据库的数据时可能无法实现)。

编辑 2:我在上面链接的工具的作者 Corneliu Tusnea 已经在 codeplex 上作为免费软件发布了该工具: http://xssattack.codeplex.com/

Answer 1

我认为 metasploit 具有您正在寻找的大部分属性。它甚至可能是唯一一个拥有您指定的所有内容的，因为我能想到的所有其他内容都是封闭源代码。有一些现有的模块可以处理 XSS，尤其是您应该看一看的模块:HTTP Microsoft SQL 注入(inject)表 XSS 感染。从那个模块的声音来看，它完全可以做你想做的事情。
我相信该框架是用 Ruby 编写的，并且应该很容易使用您可能需要/想要做的自己的模块进行扩展。
我希望这会有所帮助。

http://www.metasploit.com/