BurpSuite实战十九之XSS检测实战

XSS（跨站脚本攻击）漏洞是Web应用程序中最常见的漏洞之一，它指的是恶意攻击者往Web页面里插入恶意html代码，当用户浏览该页之时，嵌入其中Web里面的html代码会被执 行，从而达到恶意攻击用户的特殊目的，比如获取用户的cookie，导航到恶意网站，携带木马等。根据其触发方式的不同，通常分为反射型XSS、存储型XSS和DOM-base型XSS。漏

洞“注入理论”认为，所有的可输入参数，都是不可信任的。大多数情况下我们说的不可信任的数据是指来源于HTTP客户端请求的URL参数、form表单、Headers以及Cookies等，但是， 与HTTP客户端请求相对应的，来源于数据库、WebServices、其他的应用接口数据也同样是不可信的。根据请求参数和响应消息的不同，在XSS检测中使用最多的就是动态检测技术： 以编程的方式，分析响应报文，模拟页面点击、鼠标滚动、DOM 处理、CSS 选择器等操

作，来验证是否存在XSS漏洞。本章包含的内容有：

1. XSS漏洞的基本原理
2. PhantomJS在XSS检测中的使用原理
3. 使用XSS Validator插件进行XSS漏洞检测