xss是一種發生在web前端的漏洞，所以其危害的物件也主要是前端使用者。
xss漏洞可以用來進行釣魚攻擊，前端js挖礦，使用者cookie獲取。甚至可以結合瀏覽器自身的漏洞對使用者主機進行遠端控制等。
攻擊者在發現了乙個這樣存在xss漏洞的站點之後會怎麼利用呢
比如說現在是乙個比較知名的論壇，攻擊者可以根據不同xss漏洞的型別，將惡意的js**，通過這個xss漏洞插入到這個論壇的某乙個頁面當中，然後欺騙使用者去訪問或者等待使用者來訪問，當使用者訪問這個頁面的時候，都會執行帶有惡意指令碼的js**，，這個惡意的js指令碼**就會在使用者的瀏覽器端執行，比如說這個惡意的js**是獲取使用者的cookie，他會把使用者的cookie獲取到之後偷偷的傳送到攻擊者自己搭建的乙個介面，然後攻擊者拿到cookie之後就可以以使用者的身份登陸論壇，這樣就可以對論壇資訊進行篡改。
危害：儲存型》反射型》dom型
反射型互動的資料一般不會被存在資料庫裡面，一次性，所見即所得，一般出現在查詢類頁面等。
dom型
不與後台伺服器產生資料互動，是一種通過dom操作前端**輸出的時候產生的問題，一次性也屬於反射型。
形成xss漏洞的主要原因是程式對輸入和輸出的控制不夠嚴格，導致「精心構造」的指令碼輸入後，在輸到前端時被瀏覽器當作有效**解析執行從而產生危害。
get方式的xss漏洞更加容易被利用，一般利用的方式是將帶有跨站指令碼的url偽裝後傳送給目標，而post方式由於是以表單方式提交，無法直接使用url方式進行攻擊。
get以url方式提交資料
post以表單方式在請求體裡面提交
XSS平台搭建
簡介 在實施xss攻擊的時候，需要有乙個平台用來收集攻擊獲得獵物 cookie，使用者名稱密碼等 xss平台就是這樣乙個用於收取cookie，賬號等資訊的平台 可以使用外網的xss平台來測試外網的 也可以自己在本地搭建xss平台，測試本地搭建的web dvwa的漏洞 試驗中，使用的xss平台是xss...
20200909 pikachu漏洞平台之SSRF
ssrf概述，本次實驗通過真機傳送資料到pikachu伺服器，然後通過pikachu伺服器傳送請求到weblogic伺服器，pikachu伺服器把weblogic的返回資料顯示在真機介面 真機訪問weblogic 真機設定拒絕訪問7001埠 再次訪問weblogic頁面，提示禁止訪問 然後利用pik...
搭建個人xss平台
想記錄一下是因為這個原版的安裝配置是 nginx 搭建在 linux 伺服器上，而我更習慣用 apache 搭建在物理機上。所以先在網上瀏覽了一下其他 xss 平台的搭建過程，自己總結 摸索之後成功搭建 環境是 win10，phpstudy，xss平台搭在物理機上，通過內網穿透從外網訪問。xss平台...