華閱文章網如何測試XSS漏洞
XSS跨站漏洞分為大致三種：儲存型XSS，反射型XSS，和DOM型XSS，一般都是由于網站對用戶輸入的參數過濾不嚴格而調用瀏覽器的JS而產生的。
XSS幾乎每個網站都存在，google，百度，360等都存在，存在和危害范圍廣，危害安全性大。具體利用的話：儲存型XSS，一般是構造一個比如說""的JS的彈窗代碼進行測試，看是否提交后在頁面彈窗，這種儲存型XSS是被寫入到頁面當中的，如果管理員不處理，那么將永久存在，這種XSS攻擊者可以通過留言等提交方式，把惡意代碼植入到服務器網站上， 一般用于盜取COOKIE獲取管理員的信息和權限。
反射型XSS，一般是在瀏覽器的輸入欄也就是urlget請求那里輸入XSS代碼，例如：127.0.0.1/*?key=">，也是彈窗JS代碼。當攻擊者發送一個帶有XSS代碼的url參數給受害者，那么受害者可能會使自己的cookie被盜取或者“彈框“，這種XSS一次性使用，危害比儲存型要小很多。
dom型：常用于挖掘，是因為api代碼審計不嚴所產生的，這種dom的XSS彈窗可利用和危害性并不是很大，大多用于釣魚。比起存儲型和反射型，DOM型并不常用。
缺點：1、耗時間 2、有一定幾率不成功 3、沒有相應的軟件來完成自動化攻擊 4、前期需要基本的html、js功底，后期需要扎實的html、js、actionscript2/3.0等語言的功底 5、是一種被動的攻擊手法 6、對website有http-only、*沒有用所以樓主如果想更加深層次的學習XSS的話，最好有扎實的前后端開發基礎，還要學會代碼審計等等。推薦的話，書籍建議看看《白帽子講web安全》，《XSS跨站腳本攻擊剖析與防御》一般配合的話，kalilinux里面的BEFF是個很著名的XSS漏洞利用工具，樓主有興趣可以去看看。
純手工打字，望樓主采納。
