写在最后
在结束之际，我想重申的是，学习并非如攀登险峻高峰，而是如滴水穿石般的持久累积。尤其当我们步入工作岗位之后，持之以恒的学习变得愈发不易，如同在茫茫大海中独自划舟，稍有松懈便可能被巨浪吞噬。然而，对于我们程序员而言，学习是生存之本，是我们在激烈市场竞争中立于不败之地的关键。一旦停止学习，我们便如同逆水行舟，不进则退，终将被时代的洪流所淘汰。因此，不断汲取新知识，不仅是对自己的提升，更是对自己的一份珍贵投资。让我们不断磨砺自己，与时代共同进步，书写属于我们的辉煌篇章。
需要完整版PDF学习资源私我
网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。
一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！
人们经常将跨站脚本攻击（Cross Site Scripting）缩写为CSS，但这会与层叠样式表（Cascading Style Sheets，CSS）的缩写混淆。因此，有人将跨站脚本攻击缩写为XSS。恶意攻击者往Web页面里插入恶意html代码，当用户浏览该页之时，嵌入其中Web里面的html代码会被执行，从而达到恶意用户的特殊目的。主要指的自己构造XSS跨站漏洞网页或者寻找非目标机以外的有跨站漏洞的网页。XSS是web安全最为常见的攻击方式，在近年来，常居web安全漏洞榜首。
光看这个定义，很多同学一定不理解是什么意思，下面我会模拟XSS攻击，同学们应该就知道怎么回事了。 在模拟XSS攻击之前，我们先来看看XSS攻击的分类。
二：XSS攻击有几种类型呢？
①反射型XSS攻击（非持久性XSS攻击）
②存储型XSS攻击（持久型XSS攻击）
③DOM-based型XSS攻击
三：接下来我们将模拟这几种XSS攻击
第一种：反射型XSS攻击（非持久性XSS攻击）
反射型XSS攻击一般是攻击者通过特定手法，诱使用户去访问一个包含恶意代码的URL，当受害者点击这些专门设计的链接的时候，恶意代码会直接在受害者主机上的浏览器执行。此类XSS攻击通常出现在网站的搜索栏、用户登录口等地方，常用来窃取客户端Cookies或进行钓鱼欺骗。
下面我们来看一个例子：
这是一个普通的点击事件，当用户点击之后，就执行了js脚本，弹窗了警告。
你会说，这能代表啥，那如果这段脚本是这样的呢？
当浏览器执行这段脚本，就盗用了用户的cookie信息，发送到了自己指定的服务器。你想想他接下来会干什么呢？
第二种：存储型XSS攻击（持久型XSS攻击）
攻击者事先将恶意代码上传或者储存到漏洞服务器中，只要受害者浏览包含此恶意代码的页面就会执行恶意代码。这意味着只要访问了这个页面的访客，都有可能会执行这段恶意脚本，因此存储型XSS攻击的危害会更大。此类攻击一般出现在网站留言、评论、博客日志等交互处，恶意脚本存储到客户端或者服务端的数据库中。
增删改查在web管理系统中中很常见，我们找到一个新增功能页面，这以一个富文本输入框为例，输入以下语句，点击保存，再去查看详情，你觉得会发生什么？
没错，如果是前端的同学或许已经猜到了，h是浏览器的标签，这样传给服务器，服务器再返回给前端，浏览器渲染的时候，会把第二行当成h1标签来渲染，就会出现以下效果，第二行文字被加粗加大了。
这里我只是输入了普通的文本，而近几年随着互联网的发展，出现了很多h5多媒体标签，那要是我利用它们呢？ 不清楚的同学，可自行打开W3cschool网站查看：
黑客是怎么攻击我们的呢？黑客会自己写一些脚本，来获取我们的cookies敏感等信息，然后他发送到他自己的服务器，当他拿到我们这些信息后，就能绕过前端，直接调后端的接口，比如提现接口，想想是不是很恐怖！！！
这里我利用一个在线远程网站来模拟XSS攻击。地址如下： svg.digi.ninja/xss.svg 目前网站还能访问，同学们可以自己体验一下，如果后期链接失效不可访问了，同学们可以重新找一个，或者自己手写一个脚本，然后伪装成svg上传到自己的服务器。 我们在地址栏输入上面这个地址，来看看实际效果，提示你已经触发了XSS攻击。
当我们点击确定，出现了一个黑人，哈哈哈，恭喜你，你银行卡里的钱已经全被黑客取走了。这就是黑客得逞后的样子，他得逞后还在嘲讽你。
接下来，我们利用多媒体标签和这个脚本来攻击我们实际的的网站。
这里记得在地址前面加上//表示跨越，如图：
当我们点击保存之后，再去查看详情页面发现。
哦豁，刚刚那个网站的场景在我们的web管理系统里面触发了，点击确定，那个小黑人又来嘲讽你了。
这脚本在我们的管理系统成功运行，并获取了我们的敏感信息，就可以直接绕过前端，去直接掉我们后端银行卡提现接口了。并且这类脚本由于保存在服务器中，并存着一些公共区域，网站留言、评论、博客日志等交互处，因此存储型XSS攻击的危害会更大。
第三种：DOM-based型XSS攻击
客户端的脚本程序可以动态地检查和修改页面内容，而不依赖于服务器端的数据。例如客户端如从URL中提取数据并在本地执行，如果用户在客户端输入的数据包含了恶意的JavaScript脚本，而这些脚本没有经过适当的过滤或者消毒，那么应用程序就可能受到DOM-based型XSS攻击。
先自我介绍一下，小编浙江大学毕业，去过华为、字节跳动等大厂，目前阿里P7
深知大多数程序员，想要提升技能，往往是自己摸索成长，但自己不成体系的自学效果低效又漫长，而且极易碰到天花板技术停滞不前！
因此收集整理了一份《2024年最新网络安全全套学习资料》，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友。
既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，涵盖了95%以上网络安全知识点，真正体系化！
由于文件比较多，这里只是将部分目录截图出来，全套包含大厂面经、学习笔记、源码讲义、实战项目、大纲路线、讲解视频，并且后续会持续更新
知识点，真正体系化！**
由于文件比较多，这里只是将部分目录截图出来，全套包含大厂面经、学习笔记、源码讲义、实战项目、大纲路线、讲解视频，并且后续会持续更新
扫一扫
2101
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
