2019-02-20 xss go on

我觉得视频上讲的不是很清晰，
说说反射型xss 和 存储型xss

反射型xss 可以理解为你在页面填入一段js代码，这段代码并没有存入到数据库中，而是由后台直接返回给
前台后直接展示，并执行了你注入的那段代码，这叫反射型xss

存储型xss，js代码还是那段js代码，但是被存入了数据库，这样前段每次请求的时候都会被执行。（感觉这个危险有点大啊）

很多人会做一些针对js脚本的防御，比方说用正则匹配，或者替换script，或者其他什么方法，等等……（不是我想等，是我不知道）
所以攻击者可以用 image src="攻击url"，换一种方法，但是我觉得很可能还会被过滤掉（这时候我突然想起了之前一个漏洞是图片中藏有payload，具体漏洞叫什么记不清了。），但是看到这我想有机会要学一学js语言和前段html的规则，一直都是处于知道的情况好像已经无法满足一个web黑客的能力了。

dom型 xss，今天并没有讲，这个我记下来，找个时间我查一下。昨天欠的beef和dvwa还没解决。

今天也辛苦Xx了，大晚上的跟我讲黑客攻击思路（我一边听视频一边想一边听老铁教导……瞬间感觉……我出师了你们是不是就放假了？）
开个玩笑，继续走起……