番外：反射型XSS攻击中post类型和get类型的区别

在反射性xss攻击中，通常根据请求的不同类型，将攻击方式分为get型和post型，而这两种类型有着很大的区别

通俗点来讲，我们在xss-labs靶场中测试的xss漏洞大部分都是get类型，它使用户输入的内容直观的呈现在网页的URL中，或是姓名，年龄等各种用户可视的信息，而post型的xss攻击则不会在URL中显示用户输入的数据，关于这种类型的xss攻击，大家可以在皮卡丘靶场中的跨站脚本模块中找到

接下来我们用皮卡丘靶场来进行post攻击方式的演示：

我们看到了一个登录表单，我们尝试输入一些数据，发现我们输入的数据以post请求的形式发送了出去，但是并没有在页面中回显出来，我们检查页面的源代码也是一无所获：

这时我们点击提示，登陆进去：

登陆后我们发现在输入框中输入的内容并没有在网页中显示出来，但我们传入payload:<script>alert(1314)</script>时，网页依然可以弹出弹窗：

这是为什么呢，我们抓取他的请求包来看看： 

我们看到，请求的方式为post，在URL中并没有看到我们刚刚传入的数据，这就是post方式区别于get方式最大不同