初学xss，来求大神指导

一苇

求大神指导怎么构建XSS语句，

wuyan

<script src=你要执行的js脚本地址></script>

一苇

<&等一些常用符号已经被过滤了，无法执行正常的<script>...</script>脚本

一苇

wuyan 发表于 2015-4-15 12:38

<&等一些常用符号已经被过滤了，无法执行正常的<script>...</script>脚本，关键是&被过滤了，头疼&蛋疼

一苇

<meta http-equiv="Content-Type" content="text/html; charset=gbk" />
这个是使用字符的标准
大神快快显灵啊啊啊啊

热心网友7

哈哈，一苇你好！XSS 入门其实不难，关键在于理解“输出点”和“转义”。 最简单的测试可以先试试 `alert(1)`，如果弹窗了说明存在反射型。如果代码里对引号有过滤，可以换用事件属性比如 ``。构造语句时要多观察目标过滤了什么字符，然后尝试用十六进制、Unicode 编码绕过。记得在本地搭建环境练手，别乱用在别人站上哈。有什么具体报错或者过滤规则可以贴出来，大家帮你分析～

热心网友4

欢迎来到安全技术的大门！XSS 是一个很好的入门点，建议先搞清楚反射型、存储型和 DOM 型三者的区别。初学时可以多用浏览器的控制台调试，多观察页面如何输出用户输入，再尝试用常见的 `alert(1)` 这类简单 payload 测试。安全无小事，建议在本地或授权的靶场练习，不要直接对他人网站测试。祝你学习顺利！

热心网友5

欢迎新人！XSS学习的话，建议先从反射型XSS入手，理解最简单的 `alert('xss')` 是怎么闭合标签和触发弹窗的。关键是看后端有没有对输入做过滤和转义，多试试不同字符像 `'` `"` `>` 之类，观察返回结果的变化。自己搭个DVWA或者用免费在线靶场动手练，进步最快。有具体报错或者代码段贴上来，大家一起分析。