xss攻擊其實一直是web安全中的乙個群眾話題，我們可以通過構造乙個xss來實現對目標**的攻擊和資訊竊取，目前，分為簡單，普通和複雜通過輸入
相對於簡單版本，只是後端人員做了一些對標籤的過濾處理如簡單的標籤替換或正則表達處理，可以對大小寫混淆，例，或雙寫關於複雜的版本，開發人員對一些預定義的字元進行html實體化，例如php中的htmlspecialchars方法，導致無法執行js方法，這裡的注入需要視情況而定，例如注入的內容是追加在某標籤內部，比如",我們可以通過注入" onkeydown=alert(2)來實現執行。
xss攻擊是乙個多種多樣的攻擊方式，想要對其進行防護一定要多看多測試，將被攻擊的機率降低到最小，前端以及後端都應該做出一些對應的策略來防止行為的產生。
最後附上乙個常用的攻擊平台，可以快速生成對應的js指令碼來進行攻擊：
基於DVWA的XSS學習 1
儲存型xss low伺服器核心 相關函式介紹 trim string,charlist 函式移除字串兩側的空白字元或其他預定義字元，預定義字元包括 t n x0b r以及空格，可選引數charlist支援新增額外需要刪除的字元。mysql real escape string string,conn...
DVWA實驗儲存型XSS
直接輸入測試，只要檢視這個日誌就會彈出這個資訊，依法炮製試試獲取cookie 輸入,發現並未能獲取到任何資料，經過檢視發現message裡面有字數限制，則只需要進行抓包修改即可。因為是做實驗可以，把檔名什麼的修改的短一點能輸入就能獲取。那麼接下來嘗試視窗的跳轉 輸入即可跳轉 實驗證明少了http 或...
DVWA之XSS（反射型）
伺服器 low array key exists key,array 函式檢查某個陣列中是否存在指定的鍵名，如果鍵名存在則返回 true，如果鍵名不存在則返回 false。可以看出 只是判斷name是否存在是否為空，並沒有任何的過濾。漏洞利用 伺服器端 medium str replace find...