XSSF + Metasploit + Ubuntu 11.04

El Marco de XSS (XSSF) es capaz de gestionar las víctimas de un ataque XSS genéricos y mantener una conexión para ataques futuros.
Después de la inyección del ataque genérico (recursos "bucle" generado por XSSF), cada víctima le pedirá al servidor de ataque (cada "x" segundos) en caso de nuevos comandos están disponibles:

• Simple script / ejecución HTML (módulos XSSF auxiliar) en víctima específica o grupo de víctimas
• MSF Explotar la ejecución de las víctimas específicas
• XSS túnel con la víctima objetivo

Diferencia de los proyectos existentes (res, XeeK, XSSShell / XSSTunnel), XSSF da la posibilidad de añadir simplemente y ejecutar ataques (la adición de módulos), y ejecutar ya existentes de MSF explotar sin necesidad de instalar soluciones de terceros (servidor, base de datos ... [que ya está previsto por Ruby] / MSF). Además, la capacidad de crear túneles XSS con las víctimas específicas es una ventaja real sabiendo que sólo XSSShell / XSSTunnel que gestiona, pero no es portátil (ASP.NET).
 
Videos que muestran cómo XSSF obras (XSS usando en la instalación por defecto WAMP):

• Los ataques XSS: http://securitytube.net/XSSF-% 28Attacking-con-XSS-con-Metasploit% 29-parte-1-video.aspx
• XSS túnel: http://securitytube.net/XSSF-% 28Attacking-con-XSS-con-Metasploit% 29-Parte-2-video.aspx

XSSF ha de ser probado en los siguientes navegadores (con instala por defecto):

• Mozilla Firefox (2, 3, 3.5, 3.6, 4)
• Google Chrome (5, 6 Beta)
• Microsoft Internet Explorer (6, 7, 8, 9 Preview)
• Apple Safari (3, 4, 5)
• Opera (9, 10)

XSSF.zip 118,6 kB) Ludovic Courgnaud (, 21/10/2010 07:38 am

Instalacion

cd /opt/framework-3.7.0/msf3
wget http://dev.metasploit.com/redmine/attachments/596/XSSF.zip
unzip XSSF.zip
cp -r data/ lib/ modules/ plugins/ ../

Luego de estas humildes lineas ahora ejecutamos

• Primero metasploit

msfconsole

• Segundo XSSF

load XSSF

Algunas sentencias

msf > xssf_TAB TAB
msf > search xssf
msf > xssf_servers
msf > xssf_active_victims
msf > xssf_information 1

Lo malo de esto que todavía no hay mucha información mas alla de los videos...