第二轮学习笔记：XSS跨站脚本漏洞

扎头发，两圈太松，三圈太紧，洗澡，往左一点烫死，往右一点冻死，吃泡面，一桶吃不饱，两桶吃不完，就像我们的关系。。。
---- 网易云热评
跨站脚本攻击(XSS)，恶意攻击者在web页面插入恶意script代码，当用户浏览该页面时，恶意代码就会被执行，达到攻击用户的目的。
形成原因：程序对输入和输出的过滤不严格
一、反射型XSS：需要欺骗用户自己点击链接才能出发XSS代码
1、在输入窗口输入123，点击提交，审查元素，可以看到提交的内容显示在了网页

2、在输入框输入：，点击提交，弹出对话框，说明存在漏洞

二、漏洞利用
1、找一个xss平台，注册账号，新建一个项目

2、复制关键代码：，将该代码复制到存在漏洞的页面，然后提交

3、打开xss平台上创建的项目，我们可以得到DVWA平台登录的cookie

三、存储型XSS：用户只要访问存在该漏洞的页面就会触发
1、在对话框输入，提交，每次刷新页面都会弹出，说明该处存在xss漏洞

2、在对话框输入xss平台上生成的代码，点击提交，只要访问该页面的用户，都会在xss平台上看到他的cookie信息

四、xss绕过
1、大小写绕过，将

禁止非法，后果自负
欢迎关注公众号：web安全工具库