0x01.什么是XSS
全称：Cross Site Script
中文名称：跨站脚本
按英文缩写应该是CSS，为了与层叠样式表CSS做区分，安全行业就取名为XSS。
XSS是用户端安全的头号大敌，常见的危害有：盗取cookie，钓鱼，制造蠕虫等。
XSS其实是用户端代码的注入，通常注入代码是JAVAScript
区别于命令注入，SQL注入等服务端代码注入
概念：黑客通过 ‘HTML注入’ 篡改网页，插入恶意脚本，当使用户在浏览网页时，实现控制使用户浏览器行为的一种攻击方式。
0x02.xss的分类
- 存储型
- 反射性
- DOM型
存储型：一般在查看留言，看评论的时候触发。
下面我们分析下存储型XSS的攻击过程:
1.使用户打开浏览器，访问了嵌入xss脚本的页面
2.浏览器向web应使用程序请求页面。
3.页面中的留言存储在数据库中，需要web应使用程序查询数据库
4.数据库会将携带xss脚本的留言返回给web应使用程序
5.web应使用程序返回给浏览器
6.显示在浏览器上，触发XSS。
