本文目录一览：
- 1、XSS漏洞检测时为什么用语句始终检测不出来
- 2、fiddler的x5s怎么测试xss漏洞
- 3、如何测试XSS漏洞
- 4、怎样测试app是否存在广告注入隐患
- 5、如何测试XSS漏洞？
- 6、发现XSS漏洞的一般做法有哪些？
XSS漏洞检测时为什么用语句始终检测不出来
xss漏洞有两大中三小中。有对服务器和客户机的，如果对服务器的话你本地客户端是看不见的
fiddler的x5s怎么测试xss漏洞
谈到XSS漏洞攻击，可能很多童鞋或多或少的晓得一些基础的东西。这节教程菲菲就来带大家一块儿了解一下关于xss漏洞脚本攻防方面的技巧。当然老鸟飞过，不感兴趣的就算了吧。好，我们就从最最基本的开始学习。
如何测试XSS漏洞
有一款工具叫appscan 安全扫描工具，支持自动设计策略，sql注入、xss漏洞等，功能强大。
希望的回答能帮到您。
怎样测试app是否存在广告注入隐患
常见的基础安全漏洞检测方法
1、XSS漏洞
在前端一些可以输入的内容的地方，输入：scriptalert(document.cookie)/script
然后查看触发，检查对这些语句是否进行了转义处理，如果出现一些弹框之类，那就存在漏洞。
2、SQL注入漏洞
在一些存在查询功能的地方，输入一些字符，查看是否会直接显示SQL错误信息。SQL注入检测也可以借助工具，工具名称：sqlmap；比如命令：sqlmap.py -u 目标URL -dbs
3、越权问题
通过抓包获取一些请求包，特别注意包体中含有可遍历的xx_id字段的一些请求；通过修改xx_id重新发送请求，检查是否进行了用户权限控制
4、敏感信息明文传输漏洞
经常在一些登录、重置密码、交易接口中，通过抓包，检查包体内的敏感信息，是否进行了加密处理。
5、未授权访问漏洞
APP安全测试检测点
1、任意账号注册类漏洞
进入注册页面，输入任意未注册的账号等信息，
然后将Burpsuite抓包工具，设置为on模式，进行请求拦截，前端点击发送验码之后，将拦截的包体信息做修改。
2、反编译APK安装包，借助工具jd-gui
3、Apk shared_prefs存储用户凭证文件检查是否明文显示
需要借助adb shell命令查看，操作步骤见文档《monkey test操作手册》
这里介绍的几种漏洞的类型以及检测的方法，更多的还需要在实践中不断地去积累。漏洞检测的目的在于发现漏洞，修补漏洞，进而从根本上提高信息系统的安全性，以致从根本上减少安全事件的发生。
如何测试XSS漏洞？
试试腾讯电脑管家修复漏洞
腾讯电脑管家会根据你的系统环境智能筛选，若是发现不适用于你的系统环境的漏洞补丁也会智能忽略，将因补丁引起问题的机率较到最低。而至于磁盘空间的占用你是不用担心的，补丁备份所占用的空间并不高，你可以在清理垃圾后选择深度清理，然后选择Windows Update或自动更新数据库文件进行清理。至于系统性能，则正常情况下基本上不受影响。
打开腾讯电脑管家——工具箱——修复漏洞，进行漏洞扫描和修复。
建议设置开启自动修复漏洞功能，开启后，电脑管家可以在发现高危漏洞（仅包括高危漏洞，不包括其它漏洞）时，第一时间自动进行修复，无需用户参与，最大程度保证用户电脑安全。尤其适合老人、小孩或计算机初级水平用户使用。开启方式如下：进入电脑管家“修复漏洞”模块—“设置”，点击开启自动修复漏洞即可。腾讯电脑管家，杀毒+管理2合1，还可以自动修复漏洞：第一时间发现并修复系统存在的高危漏洞，在不打扰您的情况下自动为系统打上漏洞补丁，轻轻松松将病毒木马拒之门外。
发现XSS漏洞的一般做法有哪些？
关于发现时间，要具体到是检测什么目标了。找google的，和找腾讯的时间肯定不会一样。 至于“你们一般都是如何发现xss漏洞的？” 不同类型的XSS漏洞，可能不尽相同。
1.对于反射型XSS以及一些DOM XSS，一般建议是开发一些自动化的扫描工具进行扫描，并辅以手工分析。 另外一方面，搜索引擎也是快速寻找具有缺陷参数的好办法。
2.对于存储型XSS，
1) 对于单纯的输入-存储-输出点 的情况 （输入与输出点关系：一个地方输入，会有多个地方输出；不同地方输入，同一地方输出。绕了点 T T ...）。常规测试是正向直接输入内容，然后在输出点查看是否未过滤，当然你也可以先大胆假设输出点未过滤，反向寻找在何处进行输入，进而测试。
2）对于富文本，则需要对过滤器进行fuzz测试（人脑+自动化）了，正好乌云drops上有乌乌发了一篇：fuzzing XSS filter
3）第三类，就是一些WEB应用中所出现的DOM-存储型XSS，即输出点的无害内容，会经过js的一些dom操作变得危险（本质上和 第1点里的dom xss成因是一样的）。这一类的挖掘方法，个人觉得不太好总结。 其一，需要熟悉WEB应用的功能，其二，知道功能所对应的JS代码有哪些，其三，凭直觉猜测程序员会在哪些功能出现可能导致XSS的过滤遗忘或过滤错误（直觉是唬人的，其实就是你知道某些功能会需要某些代码实现，而这些代码常常容易出错），其四，需要有较好的代码阅读跟踪能力（JS一大坨。。还是蛮难读的.... 有些代码被混淆过，十分不易阅读，就会涉及到如何下断点进行调试的小技巧）。 我想，挖掘这一类的前提可能是需要有不错的前端开发经验，写多了，才会有足够的嗅觉。
其实吧，有时候专门去找漏洞会很累的，大什么怡情，小什么伤身，因此，我们还不如开心的敲敲代码，听听歌，静待生命中那些意外的收获。 这些收获经常来自身边的人发给你的一些事物。
最后，不论如何，基础很重要吧，内力不足，招式再多也没用，反之，草木竹石皆可为剑。