BlueLotus XSSReceiver：轻量级XSS攻击数据捕获与分析平台

BlueLotus XSSReceiver是一款面向网络安全研究人员的开源工具，专注于XSS攻击数据的完整捕获与分析。该平台无需数据库支持，通过文件系统存储数据，配置简单且部署高效，特别适用于CTF比赛、安全测试及漏洞验证场景。其核心功能包括实时数据接收、多维度请求分析、JS模板管理和自动化编码转换，为安全研究人员提供从攻击捕获到漏洞验证的全流程支持。

理解核心价值

解决安全研究痛点

在XSS漏洞验证过程中，研究人员常面临数据捕获不完整、攻击链追踪困难等问题。BlueLotus XSSReceiver通过以下特性解决这些挑战：

• 自动识别并解码Base64编码数据
• 全面记录HTTP请求详情、客户端信息及地理位置数据
• 提供实时通知机制确保攻击事件不被遗漏
• 集成JS模板系统加速攻击 payload 生成

适用场景界定

该工具主要面向三类用户群体：

• 安全研究人员：用于漏洞验证和攻击链分析
• CTF参赛者：快速构建XSS攻击环境
• 安全测试工程师：自动化收集攻击证据

部署环境配置

检查系统要求

BlueLotus XSSReceiver基于PHP开发，需满足以下环境要求：

• Web服务器：Apache/Nginx
• PHP版本：5.6及以上
• PHP扩展：mbstring、openssl
• 文件系统权限：对数据目录有读写权限

执行安装步骤

1. 获取项目代码

git clone https://gitcode.com/gh_mirrors/bl/BlueLotus_XSSReceiver

2. 部署至Web服务器根目录
3. 访问安装页面完成配置

配置界面提供核心参数设置，包括后台密码、数据存储路径及加密选项，默认配置可满足基础使用需求。

完成初始配置

安装完成后，系统自动生成config.php配置文件。关键配置项说明：

• ADMIN_PASSWORD：后台登录密码，默认值"bluelotus"
• DATA_PATH：XSS数据存储目录，默认"datadata"
• ENCRYPT_ENABLE：数据加密开关，建议生产环境启用
• ENCRYPT_METHOD：加密算法选择，支持RC4和AES

核心功能解析

数据捕获机制

平台通过/index.php端点接收XSS攻击数据，自动解析并记录以下信息：

• 请求元数据：时间戳、IP地址、地理位置
• HTTP请求详情：Method、Headers、GET/POST参数
• 客户端信息：User-Agent、操作系统、浏览器版本
• 敏感数据：Cookie、LocalStorage、Session信息

数据存储采用文件系统方式，每个请求生成独立文件，支持加密存储防止数据泄露。

管理界面使用

登录后台管理系统后，主要功能区域包括：

接收面板：展示所有捕获的XSS请求，支持按时间、IP、客户端等条件筛选。表格视图清晰呈现请求摘要，点击可查看详细信息。

JS模板管理：提供公共模板库和自定义模板功能，支持常用XSS攻击代码片段的复用与管理。

实战应用指南

创建自定义JS payload

1. 进入"我的JS"模块
2. 点击"添加"创建新文件
3. 编辑JS代码，可通过"选择模板"插入预设片段
4. 使用格式化/压缩工具优化代码
5. 点击"生成payload"获取攻击链接

利用编码工具绕过防御

XSSOR编码工具支持多种转换方式，帮助绕过WAF过滤：

• HTML/JS互转
• URL编解码
• Base64编解码
• 16/10进制转换

配置实时通知

通过修改config.php启用邮件通知：

define('MAIL_ENABLE', true);
define('MAIL_SMTP_SERVER', 'smtp.example.com');
define('MAIL_SMTP_PORT', 465);
define('MAIL_SMTP_USER', '[e-mail]');
define('MAIL_SMTP_PASS', 'yourpassword');
define('MAIL_RECEIVER', '[e-mail]');

常见问题解答

登录相关问题

Q: 忘记管理员密码如何处理？
A: 直接修改config.php中的ADMIN_PASSWORD值，或删除config.php后重新运行install.php

Q: 连续输错密码导致IP被封禁？
A: 删除data/forbiddenIPList.dat文件即可解除封禁

数据管理问题

Q: 如何清理过期数据？
A: 可通过编写定时任务脚本删除指定时间前的文件，默认存储路径为data/目录

Q: 数据文件加密后如何迁移？
A: 需同时迁移config.php和数据文件，确保加密密码一致

安全与合规

合法使用声明

BlueLotus XSSReceiver仅用于合法的安全研究和授权测试。使用前请确保已获得目标系统的测试授权，遵守《网络安全法》及相关法律法规。

隐私保护建议

• 对捕获的敏感数据进行加密存储
• 定期清理不再需要的攻击数据
• 限制管理后台访问IP

社区与贡献

获取技术支持

• 项目文档：查看根目录下README.md
• 问题反馈：通过项目仓库提交issue
• 社区讨论：参与安全技术论坛相关话题

代码贡献流程

1. Fork项目仓库
2. 创建功能分支（feature/xxx）
3. 提交代码变更
4. 发起Pull Request

平台采用MIT开源协议，欢迎安全社区贡献代码、报告漏洞或提出功能建议，共同完善这款XSS研究工具。