OWASP学习之XSS攻击

标题XSS攻击分为三类：

• 反射型：不具有持久性，浏览器发送数据给服务器通过PHP代码处理返回给浏览器。
• 存储型：威胁最大，浏览器发送payload给服务器处理后给数据库。
• DOM型：不需要服务器端内容，前端代码出问题导致前端DOM树被修改。

2.存储型

写一个php代码如下（重点注意php连接数据库的操作）：

phpstudy运行这个页面加入数据库后查询id=1即可运行该script，可通过phpstudy的mysql管理器查看是否存入数据库中。
phpstudy的数据库浏览界面如上。

3.DOM型

如下图控制台所示在DOM的php的脚本里加上document.url的截取参数语句：
得到脚本如下：