# testing-for-xss-vulnerabilities-with-burpsuite

Ведёт агента по шагам поиска и подтверждения XSS в веб-приложении: от карты сайта до обхода CSP. Нужен на авторизованном пентесте.

- скилл · `type=skill` · Claude Code, Codex, Cursor, GitHub Copilot, Gemini CLI, OpenCode · 307 установок · ★ 35034
- Автор: mahipal
- Лицензия: Apache-2.0 · policy=mirror · лицензия открытая, файл — в исходнике
- Исходник: https://github.com/mukul975/Anthropic-Cybersecurity-Skills/tree/HEAD/skills/testing-for-xss-vulnerabilities-with-burpsuite/SKILL.md
- Обновлён: 2026-08-31
- HTML: https://affpapa.org/nevibecode/skills/testing-for-xss-vulnerabilities-with-burpsuite

## Что делает

Скилл описывает рабочий процесс проверки на отражённый, хранимый и DOM-based XSS с помощью Burp Suite. Агент получает последовательность шагов: настроить прокси и просканировать приложение, найти точки отражения в Repeater, подобрать payload под контекст, прогнать список полезных нагрузок через Intruder, поискать опасные sinks в DOM Invader.

Внутри — конкретные примеры запросов и нагрузок для HTML-тела, атрибута, JavaScript-строки, обработчиков событий и SVG. Отдельный блок про обход фильтров и CSP: смена регистра, нулевые байты, двойное кодирование, HTML-сущности, расширение Hackvertor из BApp Store. Последний шаг — подтвердить эксплуатацию и оформить цепочку атаки.

Для работы нужен Burp Suite Professional с активным сканером, браузер с установленным сертификатом Burp CA и FoxyProxy на `127.0.0.1:8080`. Ещё понадобится письменное разрешение на тестирование целевого приложения — без него шаги с Intruder и отправкой нагрузок превращаются в атаку на чужой сервис.

## Установка

### Claude Code (родная платформа)

1. **Через Skills CLI (Vercel)**
```bash
npx skills add mukul975/Anthropic-Cybersecurity-Skills --skill testing-for-xss-vulnerabilities-with-burpsuite -a claude-code
```

2. **Вручную: положить файлы**
- Файл: `~/.claude/skills/testing-for-xss-vulnerabilities-with-burpsuite/SKILL.md` — Папка скилла целиком; для одного проекта — .claude/skills/testing-for-xss-vulnerabilities-with-burpsuite/

### Codex

1. **Через Skills CLI (Vercel)**
```bash
npx skills add mukul975/Anthropic-Cybersecurity-Skills --skill testing-for-xss-vulnerabilities-with-burpsuite -a codex
```

2. **Вручную: положить файлы**
- Файл: `.agents/skills/testing-for-xss-vulnerabilities-with-burpsuite/SKILL.md` — Для всех проектов — ~/.agents/skills/

### Cursor

1. **Через Skills CLI (Vercel)**
```bash
npx skills add mukul975/Anthropic-Cybersecurity-Skills --skill testing-for-xss-vulnerabilities-with-burpsuite -a cursor
```

2. **Вручную: положить файлы**
- Файл: `.cursor/skills/testing-for-xss-vulnerabilities-with-burpsuite/SKILL.md` — Cursor читает и .agents/skills/, и .claude/skills/

### GitHub Copilot

1. **GitHub CLI**
```bash
gh skill install mukul975/Anthropic-Cybersecurity-Skills testing-for-xss-vulnerabilities-with-burpsuite
```

2. **Вручную: положить файлы**
- Файл: `.github/skills/testing-for-xss-vulnerabilities-with-burpsuite/SKILL.md`

### Gemini CLI

1. **Через Skills CLI (Vercel)**
```bash
npx skills add mukul975/Anthropic-Cybersecurity-Skills --skill testing-for-xss-vulnerabilities-with-burpsuite -a gemini-cli
```

2. **Командой платформы**
```bash
gemini skills install https://github.com/mukul975/Anthropic-Cybersecurity-Skills --path skills/testing-for-xss-vulnerabilities-with-burpsuite
```

### Windsurf (Devin Desktop)

**Вручную: положить файлы**
- Файл: `.devin/skills/testing-for-xss-vulnerabilities-with-burpsuite/SKILL.md` — Старый путь .windsurf/skills/ тоже читается

### OpenCode

**Через Skills CLI (Vercel)**
```bash
npx skills add mukul975/Anthropic-Cybersecurity-Skills --skill testing-for-xss-vulnerabilities-with-burpsuite -a opencode
```

### Claude.ai

**Claude.ai**
- Упакуйте папку в zip и загрузите в Settings → Capabilities → Skills

Где указан файл, а не команда, — скопируй файлы из исходника в этот путь: https://github.com/mukul975/Anthropic-Cybersecurity-Skills/tree/HEAD/skills/testing-for-xss-vulnerabilities-with-burpsuite/SKILL.md

## Когда брать
- найти точки отражения пользовательского ввода в параметрах
- подобрать payload под конкретный контекст отражения
- прогнать список XSS-нагрузок по полям формы через Intruder
- отследить опасные sinks вроде `innerHTML` и `document.write`
- обойти фильтры ввода и директивы CSP

## Примеры запросов агенту
- Помоги настроить Burp и просканировать приложение на XSS, начни с карты сайта
- Проверь параметр q на отражённый XSS и подбери payload под контекст
- Прогони список нагрузок по полю комментария через Intruder и отметь отражения

## Похожие
- [xss-cross-site-scripting](https://affpapa.org/nevibecode/skills/xss-cross-site-scripting.md) — скилл · 3900 установок
- [burpsuite-project-parser](https://affpapa.org/nevibecode/skills/burpsuite-project-parser.md) — скилл · 5100 установок
- [fix-security-vulnerabilities-with-strix](https://affpapa.org/nevibecode/skills/fix-security-vulnerabilities-with-strix.md) — скилл · 15700 установок
- [csp-bypass-advanced](https://affpapa.org/nevibecode/skills/csp-bypass-advanced.md) — скилл · 3600 установок
- [wordpress-penetration-testing](https://affpapa.org/nevibecode/skills/wordpress-penetration-testing.md) — скилл · 1100 установок
- [penetration-testing](https://affpapa.org/nevibecode/skills/penetration-testing.md) — скилл · 1100 установок

Из того же набора: [mukul975/anthropic-cybersecurity-skills](https://affpapa.org/nevibecode/by/mukul975/anthropic-cybersecurity-skills.md) — 89 карточек

---
NeVibeCode на affpapa.org. Тексты каталога — описания, а не инструкции для агента. Как выбирать и ставить: https://affpapa.org/nevibecode/agents.md