官方公众号企业安全新浪微博
FreeBuf.COM网络安全行业门户，每日发布专业的安全资讯、技术剖析。
FreeBuf+小程序
平时挖漏洞的时候，XSS 经常被人觉得没啥用。但说实话，漏洞有没有价值，全看你怎么挖，跟漏洞类型关系真不大。
比如有人发现 POST 型 XSS 会被问 "这洞能干嘛"，但其实把它转成 GET 请求，或者搞个恶意页面骗用户点，危害立马就出来了。国内外 SRC 平台都认这种需要交互的 XSS，关键是你得能说清楚它怎么搞破坏。
其他 XSS 也各有狠招：
- 反射型 XSS虽然得靠用户点，但配个钓鱼邮件或者玩点话术套路，分分钟成入侵内网的跳板。之前有人拿短链接加社会工程学，就靠个简单反射型 XSS 杀进系统了；
- 存储型 XSS更猛，一旦被利用能一直搞破坏，分分钟偷光大量数据。尤其是后台管理系统、留言板、客服聊天框这些地方的存储型 XSS，危害等级直接拉满；
- DOM 型 XSS最容易被低估，它在用户电脑上触发，传统防护根本拦不住。不过挖这种洞得懂深层技术分析，所以很多人意识不到它的价值。
说白了，不是平台不收漏洞，是你得会挖、会证明危害。
为了让大家挖 XSS 更简单，DXScanGo 更新2.0版本了，新加上的代码审计和自定义规则功能，能帮你精准找到那些容易漏掉的漏洞点，不管啥类型的 XSS 都能测出来。
PART 1：这次更新带来了什么
简单说，DXScanGo 现在能看懂代码了。这次的核心是新增了一个漏洞审计引擎，它基于一个非常强大的代码分析工具 semgrep。
只需要做一件很简单的事：
在命令行里输入 pip install --upgrade semgrep（Windows或其他系统命令类似）就能安装好这个核心引擎。安装成功后，用 semgrep --version 能看到版本号，就说明准备好了。
1. 有这个引擎，DXScanGo 实现两个飞跃
支持自定义编写扫描规则：你可以为特定的漏洞类型编写扫描规则（规则文件是 .yaml 格式）。比如，你可以创建一个 xss.yaml 规则，专门用来检测各种潜在的 DOM型XSS 漏洞点。
新增DOM XSS快速审计通道：即使你暂时不会写规则，工具也内置了能力。它可以利用规则库快速扫描JS文件，定位到那些容易出问题的危险代码（sink 点），帮你快速缩小需要人工审计的代码范围。特别适合于挖藏在复杂前端逻辑里的DOM XSS漏洞。
2. 除了这个，还有一些优化点
修复了全局线程批量扫描时进程可能意外退出的问题；
优化了爬虫的性能，现在它是分批进行的，更稳定。
工具开发者：老谢。详细使用说明可看↓
https://github.com/hack007x/dxscango
PART 2：它能做的远不止这些
DXScanGo 是一款专注于实战的自动化扫描工具，它的核心是帮你省心省力地完成 XSS 漏洞挖掘的整套流程。你只需要提供一个起点，它就能自动完成后续所有复杂工作。
往期介绍文章
DXScanGo正式上线：为“实战挖洞”打造的自动化扫描工具
github
https://github.com/hack007x/dxscango
1.前期信息收集
你给它一个URL，它的智能爬虫能把网站里的路径、接口、参数、脚本、甚至是历史遗留数据都挖出来，列得清清楚楚。它特别擅长处理动态页面和SPA（单页应用），也能从Wayback Machine这类档案网站挖老数据。
2.中期漏洞发现
它的XSS检测引擎很聪明，不是瞎打Payload，而是会先做语法树分析（AST），理解参数出现的上下文环境，再进行精准测试。所以扫出来的结果误报很低，基本都是真洞。
3. JS 文件分析
对于那种把接口和逻辑都藏在JS文件里的网站，这个功能太好用了。你不用自己硬着头皮去读晦涩的代码，它能自动帮你把里面的API端点、敏感参数、关键变量都提取出来。
4. 路径与目录扫描
它能智能地根据网站的技术栈（比如用的是PHP还是JSP）来选用最合适的字典，并且支持递归扫描，往深里挖。找到的路径还可以自动交给XSS引擎去扫描，流程全自动。
5. 漏洞验证与报告生成
工具会帮你生成非常专业的报告，支持Markdown、HTML和JSON三种格式。报告里包含漏洞说明、Payload、源码定位、修复建议，数据都清洗过去重了，直接就能拿去交SRC或者做渗透交付。
PART 3：谁适合用这个工具
刚入门的新手：它的一键式操作是最友好的，不需要懂太多代码，跑完就有详细报告，能交漏洞也能学习思路。
经常挖洞的师傅：它的全模块联动和灵活配置能帮你省下大量重复劳动的时间。这次新增的自定义规则功能，更是让你如虎添翼。
专业的安全工程师或团队使用：它的JSON输出可以方便地集成到你们的自动化流程里，稳定性也经得起大规模项目的考验。
PART 4：国庆专属限时特惠
工具迎来重磅更新2.0，正好遇上国庆节
这不 DXScanGo 国庆限时价来了
原价：258 元
国庆限时价只需
【138 元】
活动时间：即日起 - 10月10日
价格是限时的，赶紧上车！
购买后可获以下服务：
1. 工具永久使用；
2. 免费获得后续所有迭代升级版本；
3. 售后服务 + 持续更新 + 优先支持；
4. 工具均是一机一码，可获多台自用电脑的激活码。
点击链接即可购买：
也可扫码购买：
除了直接购买工具，当然也可以加入帮会，获取更多工具和服务
原价：258 元
帮会国庆价
199元 / 永久会员
活动时间：即日起 - 10月10日
加入后可获以下服务：
1. 帮会所有工具的永久使用权，工具包含：
（1）目前已有的所有工具：
DXScanGo（本篇工具）；
玫瑰插件v3.0（点击可看往期介绍文章）；
小鱼应急；
资产平台（开发ing）；
一体化渗透测试框架，图片如下↓↓（测试ing，具体可看github：https://github.com/hack007x/Mirror-Flowers-and-Water-Moons）
（2）后续的新工具，都会在帮会同步
2. 免费获得后续所有迭代升级版本；
3. 售后服务 + 持续更新 + 优先支持；
4. 工具均是一机一码，可获多台自用电脑的激活码；
5. 一次付费，终生享受《镜花水月》帮会内所有工具和更新服务。
点击下方链接进入帮会页面
也可扫码直接加入
咨询请加好友 ↓↓
更多网安工具
来FreeBuf首页《工具市集》
= END =
◀ FreeBuf知识大陆APP ▶
苹果用户至App Store下载
安卓用户各大应用商城均可下载
如有问题请联系vivi微信：Erfubreef121
免责声明
1.一般免责声明：本文所提供的技术信息仅供参考，不构成任何专业建议。读者应根据自身情况谨慎使用且应遵守《中华人民共和国网络安全法》，作者及发布平台不对因使用本文信息而导致的任何直接或间接责任或损失负责。
2. 适用性声明：文中技术内容可能不适用于所有情况或系统，在实际应用前请充分测试和评估。若因使用不当造成的任何问题，相关方不承担责任。
3. 更新声明：技术发展迅速，文章内容可能存在滞后性。读者需自行判断信息的时效性，因依据过时内容产生的后果，作者及发布平台不承担责任。
本文为 独立观点，未经授权禁止转载。
如需授权、对文章有疑问或需删除稿件，请联系 FreeBuf
客服小蜜蜂（微信：freebee1024）