一、xss
1、名词解释（什么是xss）
XSS全称（Cross Site Scripting）跨站脚本攻击,XSS属于客户端攻击，受害者最终是用户，但特别要注意的是网站管理人员也属于用户之一。
这就意味着XSS可以进行“服务端”攻击，因为管理员要比普通用户的权限大得多，一般管理员都可以对网站进行文件管理，数据管理等操作，
而攻击者一般也是靠管理员身份作为“跳板”进行实施攻击。XSS攻击最终目的是在网页中嵌入客户端恶意脚本代码，最常用的攻击代码是
javascript语言，但也会使用其它的脚本语言
2、xss漏洞出现的原因
程序对输入和输出的控制不够严格,导致"精心构造“的脚本输入后,在输到前端时被浏览器当作有效代码解析执行从而产生危害
3、危害
①：劫持用户cookie
②：框架钓鱼
③：挂马
④：键盘记录
二、xss分类
1、反射型XSS
交互的数据一般不会被存在在数据库里面,只是简单的把用户输入的数据反射给浏览器，一次性，所见即所得。
2、储存型XSS
交互的数据会被存在在数据库里面,永久性存储,具有很强的稳定性
3、DOM XSS
不与后台服务器产生数据交互,通过前端的dom节点形成的XSS漏洞
三、xss可能存在的地方
1、HTML context
2、Attribute Context
3、URL Context
4、Style Context
5、Script Context
四、xss测试方法
1、工具
APPscan、AWVS、Burpsuite 等
半自动化工具：Burpsuite、firefox(hackbar)、XSSER XSSF等
2、手动
最重要的是考虑那里有输入，输入的数据在什么地方输出