xss漏洞，英文名為cross site scripting。
xss最大的特點就是能注入惡意的**到使用者瀏覽器的網頁上，從而達到劫持使用者會話的目的。
說白了就是想盡辦法讓你載入一段js**從而獲取cookie等敏感資訊進而搞破壞
xss大致分為三類
最重要的是閉合標籤
一般是人工挖掘或者機器挖掘。
人工挖掘最重要的就是試著構造請求語句從而執行js**
當啟用http-only
獲取到的cookie可能為空/無利用價值。
介紹乙個比較常用的工具—owasp_xenotix_xss_exploit_framework
首先配置一下本地伺服器
接下來可以直接點選scanner進行掃瞄。可以選擇get或者post方式。這裡推薦選擇get，因為請求語句不會太長，而post型別可能會對伺服器造成傷害到時候管理員來查你水表
然在彈出的框中輸入需要的**，等一會兒就會自動掃瞄啦
據說這個軟體內建了3000+語句，所以還是比較強大的
XSS漏洞筆記
0x01xss跨站指令碼攻擊簡介 xss漏洞是攻擊者在web頁面插入惡意的script 當使用者瀏覽該頁面時，嵌入其中web裡面的script 會被執行，從而達到惡意攻擊使用者的特殊目的。反射型xss只是簡單的把使用者輸入的資料 反射 給瀏覽器.也就是說需要誘使使用者 點選 乙個惡意鏈結，才能攻擊成...
XSS漏洞分析
網頁 客戶端 傳送請求時隱藏可自動執行的指令碼，從而使指令碼跨站執行 cross site scripeting 達到攻擊目的。由於縮寫和css衝突，故使用xss。伺服器介面 http ip port test?name aaa hobby bbb伺服器大致處理過程 string param1 re...
XSS漏洞演示
1 儲存型xss 簡介 注入的惡意指令碼永久儲存在 web 應用程式的資料庫伺服器中，因此這種攻擊不需要對使用者執行任何網路釣魚技術。過程 1 構造惡意指令碼，寫入資料庫 2 客戶訪問 返回惡意資料 遇到問題 不能解析admin資料夾裡面的html檔案，沒有找到解決辦法，於是將html字尾改成了ph...