xss权限维持（小技巧）

• 打开xss平台
• 创建打cookie的payload，默认的即可

• 复制xss代码
• 这里我们只需要复制js部分，因为我们是直接写入，所以不需要闭合

• 打开中国蚁剑连接webshell
• 将js复制到登陆后的页面保存
  为什么要复制到登陆后？因为受害者登陆后会产生cookie，从而每一次xss平台都能收到cookies

• 现在假设管理人员登陆到后台
• 当跳转到登陆后的页面index.php后

• 我们的xss便起效了，并且收到了cookie
• 此后，只要他每次登陆我们都可看到cookie，也就是每次都具有权限登陆。
• 这种攻击类型杀毒是不会爆的，只有手动排查日志文件修改时间才可能找到，隐蔽性极高