xss漏洞通過一些惡意**可以獲得我們的在**上輸入的一些個人資訊或者關鍵的資料，往往造成企業或者個人的一些損失，但是，xss漏洞的原理是我們通過利用xss漏洞執行我們自己定義的命令所以，從某種意義上來講，這個漏洞完全可以用在一些別的地方，我們的目的只是要執行我們的**就可以了。因此，我們利用這個漏洞的目的是要執行我們的自定義的**。
< script > alert(「xss」)上面的**是做xss漏洞測試的時候可以用到的測試**，通過在對話方塊中輸入這串**，看看是否出現彈框來判斷xss漏洞是否存在。不過，現如今，一般的**，或者瀏覽器都會執行乙個過濾程式，將我們輸入的**中的script欄位過濾掉，從而達到遮蔽我們測試的方式。
為了檢測xss漏洞，我們可以做如下嘗試：
1.首先，這種過濾方式如果是之針對小寫的script 字段，我們就可以嘗試切換大小寫來達到繞過過濾的作用。
2.大小寫嘗試過之後，如果沒有出現彈窗，可以使用巢狀關鍵字段的方式繞過過濾
ipt>alert(「xss」)ipt>通過這種包含的方式可以繞過。
3.如果上種方式還是不行，說明對方估計是對script 字段設定了過濾，我們採用引用一張不存在的的形式加入**。
自然是找不到的，所以執行我們的**，依然和前兩種方式同種效果。
4.如果是alert欄位也被設定了過濾，我們可以使用如下**：
< script>eval(string.fromcharcode(97, 108, 101, 114, 116, 40, 39, 120, 115, 115, 39, 41))來繞過他的過濾.
4.通過檢視他的網頁源**,如果發現可以使用單引號繞過的就使用單引號繞過方法:
『;alert(『xss』);』還有很多方式可以利用xss漏洞,這裡只是列舉了很小的一部分.
這裡在網上找到了兩個工具,首先就是web神器burpsuit,使用它可以手工測試該網頁應該怎麼利用xss漏洞,抓包,對比分析,一點一點的構造注入**.
還有乙個工具:brutexss .它是乙個非常強大和快速的跨站點指令碼暴力注入工具。可以對目標站點暴力注入,幫你分析是否存在可以注入點,還有注入方式,誤報的利率比較低.
web安全的學習之路（七）
根據題目描述，我們知道這是乙個sql注入的題目 觀察首頁之後，我並沒有在url中發現注入點，嘗試在使用者名稱和密碼的地方猜解，嘗試使用者名稱admin root 等等 嘗試密碼 123 00000，等等。但是回顯只有乙個，就是沒有此使用者名稱和密碼。那就用sql注入的方式吧 根據wp,我成功解出了這...
web安全之路
我按照我曾經的路程為大家梳理一下怎麼學習安全有關的知識，怎麼樣入門，需要哪些知識，文章我會選擇乙個月一更，時間和精力有限，故時間較長，我知道最好的學習方法就是和大家分享，這樣才能的到最好的反饋，安全這條道路是枯燥和孤獨的，但我還是希望能夠有更多的人投入到安全的行業，後續我會拿很多實戰來為大家講解相關...
web安全之路
我按照我曾經的路程為大家梳理一下怎麼學習安全有關的知識，怎麼樣入門，需要哪些知識，文章我會選擇乙個月一更，時間和精力有限，故時間較長，我知道最好的學習方法就是和大家分享，這樣才能的到最好的反饋，安全這條道路是枯燥和孤獨的，但我還是希望能夠有更多的人投入到安全的行業，後續我會拿很多實戰來為大家講解相關...