网络安全菜鸟学习之漏洞篇——XSS（二）

上一篇文章我们主要学习了反射型和存储型，这篇文章我们主要学习一下DOM型和XSS的其它扩展。
首先，我们先做个实验来学习一下DOM型XSS。
这里我所用的靶场叫pikachu。
下载地址：https://github.com/zhuifengshaonianhanlu/pikachu
（具体的安装步骤可以参考一下这篇文章：https://zhuanlan.zhihu.com/p/101116258）
好，现在我们开始实验。首先，我们打开DOM型-XSS。
在这里我们随便输入　#' onclick="alert('gq')"> （这个意思是鼠标点击就会弹窗，弹窗内容为alert内的内容），然后点击按钮。这时我们可以发现下面突然出现了一句话，我们点击它就会出现弹窗。



这个是怎么回事呢？来，我们右键打开参查看网页源代码。
我们找到刚才使用的按钮所在的代码附近。（ctrl+F可以快速查找）
我们仔细一看这个网站用一个str接受我们输入的内容，然后在下面进行执行。

那么这个那说明什么呢？很简单，说明我们的代码是在前端执行的。这里就不得不提一下前后端。所谓的前端就是客户端，也就是你的电脑。所谓的后端就是服务端，也就是服务器。我们的反射型和存储型都是在后端执行的，而DOM型在前端执行。
当然这篇文章不可能就单单讲一个DOM型XSS，我们还要补充一些相关知识。
知识点一：XSS平台
XSS平台说简单点就是在线的XSS测试平台，我们可以用它实现XSS攻击。说直白点就类似于beef的平台只不过是在线的，当然它们中有些比beef还强大。(百度一搜就可以搜到一堆)
知识点二：XSS绕过
我们如果仔细看了之前的实验，我们会发现我们进行XSS的时候我们进行了绕过。所以说学习XSS绕过还是很有意义。我在这里给大家推荐一个靶场xss-labs。
下载链接如下：https://download.csdn.net/download/gqzszzy/12881925（github的链接好像挂了，我把我之前下载下来的分享出来。大家需要的就直接下下来吧）
（ps:求各位看官给点评论和关注）