XSS漏洞介绍（笔记）

什么是XSS？

XSS（Cross Site Scripting)跨站脚本，较合适的方式应该叫做跨站脚本攻击，诞生于1996年，人们经常将跨站脚本攻击（Cross Site Scripting）缩写为CSS，但这会与层叠样式表（Cascading Style Sheets，CSS）的缩写混淆。因此，有人将跨站脚本攻击缩写为XSS。

XSS分类：

反射型（非持久型）：攻击者事先制作好攻击链接, 需要欺骗用户自己去点击链接才能触发漏洞。
存储型（持久型）：payload被存储到数据库内，每次只要访问就可以被触发。
DOM型：DOM型XSS漏洞是基于文档对象模型Document Object Model，DOM)的一种漏洞。

XSS是怎么形成的？

由于程序员在编写代码时，未对用户输入的数据进行处理、或者处理不当，从而导致恶意payload代码被执行。
简单来说是对非预期输入的过分信任！

XSS有什么危害？

钓鱼欺骗
网站挂马
身份盗用
盗取网站用户信息
垃圾信息发送
劫持用户Web行为
XSS蠕虫

漏洞挖掘及修复：
总体来说就一句话，见框就插，但是一定要注意闭合标签！尤其存储型xss,如果不闭合有可能把站点的功能点搞坏！
常见的地方如下：
1、搜索框
2、URL地址栏
3、留言板
4、登录处
说白了就是各种输入输出点的地方！

XSS漏洞部分payload：

<script>alert('1')