XSS学习

XSS叫跨站脚本攻击

类型

• 反射型
  一般需要自行去触发，一般来说是在GET和POST方法里面插入一段xss代码，需要用户直接去访问

• 存储型
  一般是无意的触发，存储在数据库或某种介质里随机调取的

• DOM型
  与反射型有点像，但是区别在于反射型是先作用到数据库再展示到前端，而DOM型是作用于js后直接返回到前端，是可以脱离后端的

存储型XSS

图解：

一个典型的案例就是类似于一个社区平台，我可以发帖子，发了帖子我可以打开查看，这样就满足了向数据库插入信息，再由用户访问这个信息

简单来说就是：
1，我们能不能添加或修改一个数据
2，这个数据可以展示出来

用法

制作存储性xss可以使用img标签
<img src=x onerror=alert(1)>
这个onerror叫做onerror事件，当图片或者视频出现错误不能显示时就会执行里面的js代码

反射型XSS

原理图解

挖反射型xss的时候最重要一点是url里面必须要有参数，可以是搜索框之类的

DOM型XSS

不经过后端的处理，只由前端js处理后返回给用户，看起来是和反射型xss一样的，区别就是不经过后端处理