🧠 Introducción al Descubrimiento XSS

A estas alturas ya deberíamos comprender:

• Qué es una vulnerabilidad XSS

• Los tres tipos: Stored, Reflected y DOM-based

• Cómo funciona XSS:

  • Inyección de JavaScript

  • Ejecución en el navegador del cliente

Aun así, debido a lo común que es XSS, existen muchas herramientas, recursos y técnicas que nos ayudan a descubrirlo.

🤖 Descubrimiento Automatizado

• Nessus
  https://www.tenable.com/products/nessus

• Burp Suite Pro
  https://portswigger.net/burp

• OWASP ZAP
  https://www.zaproxy.org/

Estos suelen realizar dos tipos de escaneo:

🔍 Escaneo Pasivo

• Analiza HTML y JavaScript

• No envía payloads

• Muy útil para detectar DOM-based XSS

• Bajo ruido, bajo riesgo

📚 Recurso recomendado:
https://portswigger.net/web-security/cross-site-scripting/dom-based

⚔️ Escaneo Activo

• Envía payloads XSS

• Intenta forzar la ejecución de JavaScript

• Detecta:

  • Stored XSS

  • Reflected XSS

• Más intrusivo

📚 Recurso OWASP:
https://owasp.org/www-community/attacks/xss/

🧰 Herramientas Open Source para XSS

• XSStrike
  https://github.com/s0md3v/XSStrike

• Brute XSS
  https://github.com/rajeshmajumdar/BruteXSS

• XSSer
  https://github.com/epsylon/xsser

Estas herramientas suelen:

• Identificar campos de entrada

• Inyectar payloads XSS

• Comparar el HTML renderizado

• Detectar posibles ejecuciones

🧪 Ejemplo con XSStrike

Repositorio oficial:
https://github.com/s0md3v/XSStrike

Clonamos la herramienta:

git clone https://github.com/s0md3v/XSStrike
cd XSStrike
pip install -r requirements.txt --break-system-packages
python xsstrike.py

Ejecutamos el escaneo contra un parámetro:

python xsstrike.py -u "http://SERVER_IP:PORT/index.php?task=test"

Salida relevante:

[!] Testing parameter: task [!] Reflections found: 1 [+] Payload: <HtMl%09onPoIntERENTER+=+confirm()> [!] Efficiency: 100 [!] Confidence: 10

📌 Siempre prueba el payload manualmente para confirmar.

✍️ Descubrimiento Manual

• XSS básicos → fáciles de detectar

• XSS avanzados → requieren revisión de código

🧨 Pruebas con Payloads XSS

El método más básico consiste en:

• Usar listas públicas de payloads

• Probarlos en campos de entrada

• Observar si se ejecuta JavaScript

📚 Recursos recomendados:

• PayloadAllTheThings – XSS
  https://github.com/swisskyrepo/PayloadsAllTheThings/tree/master/XSS Injection

• PayloadBox – XSS Payload List
  https://github.com/payloadbox/xss-payload-list

📚 Recurso OWASP (inputs no tradicionales):
https://owasp.org/www-community/attacks/xss/

🤔 ¿Por qué muchos payloads no funcionan?

📚 Cheatsheet útil:
https://portswigger.net/web-security/cross-site-scripting/cheat-sheet

⚙️ Automatización personalizada

📚 Ejemplo de enfoque avanzado:
https://portswigger.net/blog/xss-automation

🧑‍💻 Revisión de Código (La más confiable)

Debe incluir:

• Código back-end

• Código front-end

Si entendemos:

• Cómo entra la entrada

• Cómo se procesa

• Cómo se renderiza

👉 Podemos crear payloads a medida con alta probabilidad de éxito.

📚 Recursos de apoyo:

• Secure Coding JavaScript (OWASP):
  https://owasp.org/www-project-secure-coding-practices/

• PortSwigger XSS Labs:
  https://portswigger.net/web-security/cross-site-scripting

🧩 Relación con Source & Sink

📚 Lectura clave:
https://portswigger.net/web-security/cross-site-scripting/dom-based

Este enfoque es clave para descubrir XSS que sobreviven a auditorías automáticas.

🎯 Consideraciones Finales

🧪 Ejercicio práctico: XSS Reflected

1. Página de login:
   

2. URL inicial tras prueba login:
   http://83.136.253.132:56567/?fullname=a&username=b&password=b&email=example%40gmail.com
   No hace un post sino un GET
   

3. Ejecutar XSStrike:

   python xsstrike.py -u "http://<IP>:<port>/?fullname=a&username=b&password=b&email=example%40gmail.com"
   

4. Encontramos que email es vulnerable:
   

5. Inyectamos payload XSS:

   http://83.136.253.132:56567/?fullname=a&username=a&password=a&email=%3Cscript%3Ealert(window.origin)%3C/script%3E
   

6. Resultado: alerta ejecutada
   

7. Verificación en código fuente:
   

✅ Conclusión: XSS Reflected detectad