先打算从比较方便的可以在线的练习开始，所以并没有用最常用的DVWA，而就直接用的在线的这个xss靶场开始。服务端仍然没有进行过滤，只是这次的输出并不是直接输出，而是加入在textarea中，所以现将其闭合在输出即可。对于<textarea>标签

能正常安装、启停Apache。理解HTML，理解表单，理解GET与POST方法,编写一个含有表单的HTML。理解JavaScript的基本功能，理解DOM。编写JavaScript验证用户名、密码的规则。正常安装、启动MySQL，建库、创建用户、修改密码、

XSS全称跨站脚本攻击，是最常见的Web应用程序安全漏洞之一，位于OWASP top 10 2013/2017年度分别为第三名和第七名，XSS是指攻击者在网页中嵌入客户端脚本，通常是JavaScript编写的危险代码，当用户使用浏览器浏览网页时，脚本就会在

使用a标签payload："><a href="javascript:alert(‘a‘)">1</a >//. 发现有两处输出位置，第二处输出在了 a 标签 href 属性中，此处构造 payl

今天和朋友讨论网站安全问题,聊到了csrf和xss,刚开始对两者不是神明白,经过查阅与讨论,整理了如下资料,与大家分享.登录受信任网站A，并在本地生成Cookie。在不登出A的情况下，访问危险网站B。　　　　<input type=‘hidden‘

跨站脚本攻击，为了不和层叠样式表的缩写混淆，故将跨站脚本攻击缩写为XSS。恶意攻击者往Web页面里插入恶意Script代码，当用户浏览该页之时，嵌入其中Web里面的Script代码会被执行，从而达到恶意攻击用户的目的。-- BooleanUtils在该依赖

基本WAF都针对常用的弹窗函数做了拦截，如alert()、prompt()、confirm()，另外还有代码执行函数eval()，想要绕过去也比较简单，我们以alert为例，其实只需要分割alert和()即可，例如：。添加空格、TAB、回车、换行：aler

用户是网站A的注册用户，且登录进去，于是网站A就给用户下发cookie。发出请求时，XSS代码出现在url中，作为输入提交到服务器端，服务器端解析后响应，XSS代码随响应内容一起传回给浏览器，最后浏览器解析执行XSS代码。这个过程像一次反射，所以叫反射型X

"><script>alert(1)</script>//<img src=x onerror=alert(2)><svg /onload=alert`1`><embed src=//

抓包修改文件后缀为php，然后允许数据包通过。将数据包step值修改为2，并添加passed_captch=true，然后发送即可绕过。启动代理模式，点击instruction，获取数据包。将impossible的cookic改为之前获取的low的cook

Xss意为跨站脚本攻击,为了不和层叠样式表的缩写混淆，故将跨站脚本攻击缩写为XSS。XSS漏洞是一种在WEB应用中常见的安全漏洞，它孕育用户将恶意代码植入web页面，当其他用户访问此页面时，植入的恶意代码就会在其他用户的客户端中执行。我们可以参考这张图的攻

　　xss通常就是通过巧妙的方法注入指令到指定页面，使用户加载执行的恶意的js的代码，攻击者会获取用户的一系列信息，如cookie等，从而进行其他用户信息的盗取。　　查看网页源代码：果然，后台代码没有对我们提交的代码做修改，直接解释为html代码执行，会产

很多人搞不清楚CSRF的概念，甚至有时候会将其和XSS混淆,更有甚者会将其和越权问题混为一谈,这都是对原理没搞清楚导致的。所以小黑想要修改大白的信息，他需要拥有：1，登录权限 2，修改个人信息的请求。因此，网站如果要防止CSRF攻击，则需要对敏感信息的操作

(其实get方法才是常见的,post很难做到诱导,因为涉及提交表单,用户是不会主动把你的恶意代码输入的.但我可以构造get请求:

XSS跨站脚本自1996年诞生以来，一直被OWASP 评为十大安全漏洞中的第二威胁漏洞。也有黑客把xss当做新型的“缓冲区溢出攻击”，而JavaScript是新型的shellcode。2011年6月份，国内最火的信息发布平台“新浪微博”爆发了xss蠕虫攻击

// 不对 magic_quotes_gpc 转义过的字符使用 addslashes(),避免双重转义。$value = addslashes; // 给单引号（‘）、双引号（"）、反斜线（\）与 NUL加上反斜线转义。$params[$key]

它是通过对网页注入可执行代码且成功地被浏览器 执行，达到攻击的目的，形成了一次有效XSS攻击，一旦攻击成功，它可以获取用户的联系人列表，然后向联系人发送虚假诈骗信息，可以删除用户的日志等等，有时候还和其他攻击方式同时实施比如SQL注入攻击服务器和数据库、C

也就是说js语句实际上是位于↓<script></script>的中间。包括<img>、<input>、<object>、<iframe>、<a></a>、&l

你提交的数据成功的实现了XSS. 你提交的数据成功的实现了XSS 存入数据库 访问时自动触发（持久型）。存储型的一种变形。存储在浏览器上的明文密码。网页上的键盘记录

　　XSS全称跨站脚本攻击，为了跟CSS区分开来，所以变成了XSS。它允许恶意代码植入到正常的页面中，盗取正常用户的账号密码，诱使用户访问恶意的网站。这就是一个简单的反射性XSS攻击，也叫非持久性XSS，将非法代码提交到服务器，服务器解析并响应，而响应中包