XSS脚本检测油猴脚本

1

https://github.com/GoogolOwO/monkey/blob/new-script/xsstip.js

源代码（不保证更新）：

``` // ==UserScript== // @name Wikidot 反 XSS 检测 // @namespace https://wikidot.com/ // @version 0.1.0 // @description 自动检测 XSS 脚本 // @author Googol // @match http://*.wikidot.com/* // @match https://*.wikidot.com/* // @icon data:image/gif;base64,R0lGODlhAQABAAAAACH5BAEKAAEALAAAAAABAAEAAAICTAEAOw== // @grant none // ==/UserScript==

(function() {
‘use strict’;

// Your code here...
let existXSS = document.getElementById("page-content").innerHTML.indexOf("<script") !== -1;
if(existXSS){
    document.getElementById("abuse-report-button").style.color = "red";
}

})();
```

如果出现XSS漏洞，“标记为令人反感的”就会变成红色。目前只能检测内容，不能检测顶栏、侧边栏

发现后效果：

[upl-image-preview url=https://s.rmimg.com/2024-07-21/1721558204-893900-image.png]

2

所以，只要我发现了XSS，我将立刻利用漏洞。

3

发现了就被盗号了（

而且你这个没我的nb


4

另外注意论坛贴子可能有误报

5

@“xXcmd1152Xx”#p54158 被盗号我就盗别人的号

6

我就问问能不能在 meta 设一个 CSP

7

@“Googol”#p54162 笑死，csp对于非src加载无效

8

另外我测试了，好像目前的 xss 都没法利用了

9

@“Googol”#p54166 你利用就是辜负苍生祸害人间

10

@“xXcmd1152Xx”#p54177 22c 也是

11

@“Googol”#p54178 你也就只会怪那个不存在的22c了

12

目前已知误报组件：

[[module Comment]]

13

@“Googol”#p54182 你看看我那个会不会误报

14

@“xXcmd1152Xx”#p54187


</s><i> </i>{ "safe": true, "warn": "这是静态分析，可能仍然存在潜在的注入" }<i> </i><e>

15

@“Googol”#p54188 你看，没误报

16

另外我那个 </s>tabview<e> 也有误报。

17

## 0.2.0

最近，进行了更新：

  • - 如果可疑则显示蓝色

  • - 如果有极大可能是则显示红色

    • 该方法通过查看wikidot源码判断，请使用 GitHub 获取最新版本

    18

    示例：

    [upl-image-preview url=https://s.rmimg.com/2024-07-21/1721559976-717107-image.png]

    SELECTED SITE: WRITE ON DRAFT PAPER

    19

    基本上有tab的都会出现蓝色：

    [upl-image-preview url=https://s.rmimg.com/2024-07-21/1721560096-675935-image.png]


    20

    最近 wikidot 有没有没挖出的xss（0day）