本文目录一览：
- 1、黑客们为什么乐衷使用 XSS 攻击
- 2、xss为什么网上比官网还贵
- 3、浏览器的Xss过滤器机制是什么，为什么有些反射型Xss不会触发过滤器
- 4、为什么我的xss 攻击不显示图片
- 5、为什么输入带又XSS字符的参数就报404 错误
黑客们为什么乐衷使用 XSS 攻击
1.大部分时候不是为了挂马。而是偷cookie。或者操控帐号行为。
2.如果不知道cookie是什么，可以简单理解为你以当前账户进入网站的凭证。
3.知乎对偷cookie免疫，因为一个关键字段q_c0用了httponly。客户端js无权读写。
4.大部分网站没有启用httponly，估计是前端们不干吧？“妈的，跨域问题就搞的劳资够恼火了，难道还想让劳资无权操纵cookie”
5.参考安全焦点的文章：攻击google的测试
xss为什么网上比官网还贵
中间商赚差价
XboxSeriesS简称为xss
造型小巧的XSS其外包装也非常的简约。白色的主题设计颇具质感，标志性的Xbox西瓜键和黑色散热孔都在正面很好的展示了出来。
打开包装，就可以看到本次的主角，XboxSeriesS。相较于以往的主机，XSS显得格外的小巧，但同时有着主机级别的性能，能够流畅运行3A游戏并带来精美的画面表现，这不仅仅要感谢新架构带来的性能提升，更要感谢微软精妙的工业设计力，让如此小巧的机身就能够满足其散热的要求。
XSS小巧的身形使得它可以轻松放置在55寸电视和电视柜之间的空隙。这别说是次世代主机了，就连上一代末期的X1X、PS4Pro等机型都很难做到。和其他主机相比，XSS可以更轻松的融入到你的电视柜、书桌、书柜之中。
由于采用了纯数字化的设计，XSS并没有搭载光驱，因此正面面板十分简洁，一个西瓜键用于开关机、一个蓝牙配对键用于连接手柄，还有一个USB接口，用于连接各种外设
浏览器的Xss过滤器机制是什么，为什么有些反射型Xss不会触发过滤器
首先要说明的是 它是webkit的一个模块,而非chrome ,所以Safari和360安全浏览器极速模式等webkit内核的浏览器都有XSS过滤功能.
过滤方式：
通过模糊匹配 输入参数(GET query| POST form data| Location fragment ) 与 dom树,如果匹配中的数据中包含跨站脚本则不在输出到上下文DOM树中.另外,匹配的规则跟CSP没有什么关系,最多是有参考,CSP这种规范类的东西更新速度太慢跟不上现实问题的步伐.
关闭模式：
因为它有可能影响到业务,所以浏览器提供了关闭它的HTTP响应头.
X-XSS-Protection: 0
绕过方式：
因为专门做这方面的原因所以对绕过也有所了解,目前我发布过的一个bypass 0day还可以继续使用.
svgscript xlink:href=data:,alert(1)/script/svg
为什么我的xss 攻击不显示图片
网页图片无法显示的原因大致如下：
1，网速问题。导致没有打开网页上的图片，检查网速即可；
2，浏览器问题。导致图片不正常显示，更新、重装当前浏览器，或者换用其他浏览器即可；
3，网站删除了图片，导致如此显示效果。如果其他网站图片正常，只有这个网站无法显示，那么这个无法解决；
4，电脑缺失flash插件。更新或者安装flash插件即可。
为什么输入带又XSS字符的参数就报404 错误
XSS注入的本质
就是: 某网页中根据用户的输入, 不期待地生成了可执行的js代码, 并且js得到了浏览器的执行. 意思是说, 发给浏览器的字符串中, 包含了一段非法的js代码, 而这段代码跟用户的输入有关.
常见的XSS注入防护, 可以通过简单的 htmlspecialchars(转义HTML特殊字符), strip_tags(清除HTML标签) 来解决, 但是, 还有一些隐蔽的XSS注入不能通过这两个方法来解决, 而且, 有时业务需要不允许清除HTML标签和特殊字符.