XiaodiSec day038 Learn Note 小迪安全学习笔记
记录得比较凌乱，不尽详细
day 38 XSS
XSS 的最后一节
结合 ctfshow 的题
316 - 331 关
16 题捏
开始
ctfshow 启动
使用
onerror 实践绕过对 script 的过滤
onload 时间能自动载入，加载自动执行
可以用\代替空格，绕过空格过滤
存储型 XSS
使用 xss 获得管理员的账号密码
管理员能查看管理员的账号密码
考虑将自己的账号名改成 js 代码(笑嘻了)
session 的失效问题，session 相对于 cookie 更快失效
既然 session 失效较快，考虑使用 js 获取 html 源代码
Php 中设置 session.cookie_httponly =
httponly 无法获取尝试使用 beef-xss 秒它
CSP Content Security Policy 能有效防止跨站攻击，据说非常牛批
此外，php 中有一些自动转义的代买，尝试引入
还可限制输入内容