本文目录一览：
xss 怎么获取用户cookie
XSS获取cookie并利用 获取cookie利用代码cookie.asp xx 把上述文件保存为cookie.asp文件，放到你自己的网站服务器下。比如这里我们自己搭建的服务器为：。 XSS构造语句 window.open('.
哪有放XSS跨站脚本工具的第三方工具/
不修改网站程序,使用第三方工具来防范XSS跨站式脚本攻击
网站要怎么防范常见的XSS跨站式脚本攻击呢，我们先从XSS跨站式脚本攻击的原理来说起。
网站遭受XSS跨站式脚本攻击的基本原理
1.本地利用漏洞，这种漏洞存在于页面中客户端脚本自身。
其攻击过程如下所示：
A给B发送一个恶意构造了Web的URL。
B点击并查看了这个URL。
恶意页面中的JavaScript打开一个具有漏洞的HTML页面并将其安装在B电脑上。
具有漏洞的HTML页面包含了在B电脑本地域执行的JavaScript。
A的恶意脚本可以在B的电脑上执行B所持有的权限下的命令。
2反射式漏洞，这种漏洞和本地利用漏洞有些类似，不同的是Web客户端使用Server端脚本生成页面为用户提供数据时，如果未经验证的用户数据被包含在页面中而未经HTML实体编码，客户端代码便能够注入到动态页面中。
其攻击过程如下：
A经常浏览某个网站，此网站为B所拥有。B的站点运行A使用用户名/密码进行登录，并存储敏感信息（比如银行帐户信息）。
C发现B的站点包含反射性的XSS漏洞。
C编写一个利用漏洞的URL，并将其冒充为来自B的邮件发送给A。
A在登录到B的站点后，浏览C提供的URL。
嵌入到URL中的恶意脚本在A的浏览器中执行，就像它直接来自B的服务器一样。此脚本盗窃敏感信息（授权、信用卡、帐号信息等）然后在A完全不知情的情况下将这些信息发送到C的Web站点。
3存储式漏洞，该类型是应用最为广泛而且有可能影响到Web服务器自身安全的漏洞，骇客将攻击脚本上传到Web服务器上，使得所有访问该页面的用户都面临信息泄漏的可能，其中也包括了Web服务器的管理员。
其攻击过程如下：
B拥有一个Web站点，该站点允许用户发布信息/浏览已发布的信息。
C注意到B的站点具有存储式的XXS漏洞。
C发布一个热点信息，吸引其它用户纷纷阅读。
B或者是任何的其他人如A浏览该信息，其会话cookies或者其它信息将被C盗走。
类型A直接威胁用户个体，而类型B和存储式漏洞所威胁的对象都是企业级Web应用。
网站遭受XSS跨站式脚本攻击的基本方式
1. DOM-based cross-site scripting
页面本身包含一些DOM对象的操作，如果未对输入的参数进行处理，可能会导致执行恶意脚本。如下面一些DOM操作：
document.URL
document.URLUnencoded
document.location (and many of its properties)
document.referrer
window.location (and many of its properties)
举个例子，假如某个脆弱的页面的代码如下：
HTML
TITLEWelcome!/TITLE
Hi
SCRIPT
var pos=document.URL.indexOf("name=")+5;
document.write(document.URL.substring(pos,document.URL.length));
/SCRIPT
BR
Welcome to our system
…
/HTML
攻击者使用如下的URL访问时，则非常危险：
;scriptalert(document.cookie)/script
试了一下，貌似IE、FireFox等浏览器默认 对scriptalert(document.cookie)/script进行了编码，阻止了脚本的执行。但是对于 DOM操作还是要更加谨慎啊，比如把上面的页面修改一下，安全性就增强了不少：
SCRIPT
var pos=document.URL.indexOf("name=")+5;
var name=document.URL.substring(pos,document.URL.length);
if (name.match(/^[a-zA-Z0-9]$/))
{
document.write(name);
}
else
{
window.alert("Security error");
}
/SCRIPT
2. Reflected cross-site scripting
也被称为None-Persistent cross-site scripting，即，非持久化的XSS攻击，是我们通常所说的，也是最常用，使用最广的一种方式。它通过给别人发送带有恶意脚本代码参数的URL，当 URL地址被打开时，特有的恶意代码参数被HTML解析、执行。它的特点是非持久化，必须用户点击带有特定参数的链接菜能引起。
3. Persistent cross-site scripting
持久化XSS攻击，指的是恶意脚本代码被存储进被攻击的数据库，当其他用户正常浏览网页时，站点从数据库中读取了非法用户存入非法数据，恶意脚本代码被执行。这种攻击类型通常在留言板等地方出现。
实施方式
我们来试一把Reflected cross-site scripting。当我们在某网站输入参数XXX，发现参数XXX原样的出现在了页面源码中：
1. input type="text" class="ce5d-b30e-bf2b-32dd Seach" name="w" value="XXX" /
OK，可以开始做文章了，我们将XXX替换为：abc"/scriptalert('haha')/scripta href="，返回的HTML代码如下：
1. input type="text" class="b30e-bf2b-32dd-b070 Seach" name="w" value="abc"/
2. scriptalert('haha')/script!--" /
这样，scriptalert('haha')/script被执行了。这里再举例一些XSS攻击行为：
1. IMG SRC="javascript:alert('XSS');"
2. IMG SRC=javascript:alert('XSS')
3. IMG SRC="javascript:alert(String.fromCharCode(88,83,83))"
4. IMG SRC="jav ascript:alert('XSS');"
5. SCRIPT/XSS SRC=""/SCRIPT
6. SCRIPTalert("XSS");///SCRIPT
7. iframe src=
8. INPUT TYPE="IMAGE" SRC="javascript:alert('XSS');"
9. BODY BACKGROUND="javascript:alert('XSS')"
10. BODY ONLOAD=alert(document.cookie)
11. BODY onload!#$%()*~+-_.,:;?@[/|"]^`=alert("XSS")
12. IMG DYNSRC="javascript:alert('XSS')"
13. IMG DYNSRC="javascript:alert('XSS')"
14. BR SIZE="{alert('XSS')}"
15. IMG SRC='vbscript:msgbox("XSS")'
16. TABLE BACKGROUND="javascript:alert('XSS')"
17. DIV STYLE="width: expression(alert('XSS'));"
18. DIV STYLE="background-image: url(javascript:alert('XSS'))"
19. STYLE TYPE="text/javascript"alert('XSS');/STYLE
20. STYLE type="text/css"BODY{background:url("javascript:alert('XSS')")}/STYLE
21. ?='SCRIPTalert("XSS")/SCRIPT'?
22. A HREF="javascript:document.location=''"XSS/A
23. IMG SRC=javascript:alert('XSS')
24. EMBED SRC="" AllowScriptAccess="always"/EMBED
25. a="get";
26. b="URL(""";
27. c="javascript:";
28. d="alert('XSS');"")";
29. eval(a+b+c+d);
总结一下，要防止XSS跨站式脚本攻击主要是要在查询字符串(QueryString)，表单数据（PostData）以及Cookie甚至HTTP报头（Header）中防止掉一些javascript关键字和一些敏感的字符（单引号，分号）以及SQL语言的关键字，以及防止他们使用encode编码。
用ASP或者PHP脚本来实现上面的这些想起来就很麻烦。下面就来介绍下用一个第三方工具IISUTM来处理上面我们说到的问题。
准备工作：先去下载最新的IISUTM版本。
根据IISUTM网站防火墙安装及操作手册 中的说明把IISUTM部署到你的服务器上来，这里需要注意的是使用Windows 2003+iis6的服务器，需要开启iis中“以IIS5.0 隔离模式运行 www 服务”选项才能正常使用该软件。
安装完成，通过浏览器访问IISUTM的配置管理界面默认的是，这个是私有地址，只能在该服务器上访问，你需要任何地方都能访问的话，可以在安装的时候IP地址的选项那里填入你服务器的公网IP地址，和你所开放的端口。这样你就可以通过你配置的地址进行访问，或者你可以在iis中直接管理名为IISUTM的站点。
登陆管理界面后点击上面导航栏中的“基本设置”，然后点击左边菜单的“防XSS攻击”链接。
开启该链接里所有的选项，选中之后IISUTM会自动保存配置，下面的“使用不允许的发送序列”是该软件提供的XSS攻击关键字的特征库，你可以根据你网站的情况进行更改（最好不要修改）。
确认以上的配置以后，你可以返回到IISUTM管理界面的首页，这里会列出最近服务器遭受到的攻击以及详细，赶紧去看看你的网站是不是随时有人在进行SQL注入吧，以及哪些攻击被IISUTM处理掉了。
有什么建站软件可以快速建网站?
作者：woozhidao
链接：
来源：知乎
著作权归作者所有。商业转载请联系作者获得授权，非商业转载请注明出处。
目前最流行的软件是WordPress这个免费建站平台。现在的网站基本都是WordPress搭建的。
你可以看看下面的视频教程，教任何人一个小时内轻松学会建立完整网站。
随着网络技术和网站的不断发展, 现在越来越多的人拥有自己的网站, 独立博客, 和电子商务网店。一些人搭建网站是为了实现个人的兴趣，有些人是通过它来创业，也有些人是用网站来实现想法和创意。
你的网站, 博客, 或网店也是可以拥有自己的域名(网址)，如 就网店|就网站 - WordPress建网店或网站。
还有，无论是在国内还是国外都可以访问你的网站。就可以说，世界各地的人都可以浏览你的网站，博客，或网店。
好消息是，你可以使用WordPress这个免费网站搭建平台来建立你的网站，博客，或电子商务网店。WordPress是一个免费开源的网站程序 (CMS: 内容管理系统)。这些年来，我目睹WP的发展过程。它的功能强大，扩展性强，和拥有无数的插件来为你添加各种的功能。还有，WordPress搭建的网站或网店对SEO搜索引擎是十分友好，收录也快，排名靠前。最重要的是，它的使用非常的简单。你不需要任何专业知识就可以自己管理和添加内容。下面的视频教程会一步步教你如何操作你的网站，博客，或电子商务网店。
建立网站的3个简单步骤
搭建一个网站， 总共需要3个步骤。 首先要有一个可以使用的域名, 不管是 .net 也好, 还是.com 也好, 然后需要空间也就是主机空间。 最后需要安装WordPress免费网站建立平台 (基于php的)。
域名: 让浏览者记住你网站的重要名称。你 可以到US Domain Center(美国域名中心): Search, Register and Transfer Web Domain Names and More 购买域名和空间。购买有就可以马上进行一键安装WordPress。你的网站可以在大概10分钟上线，无需备案。
你可以看看以下任何一个视频教程来了解流程:
1) 可用支付宝, PayPal, 信用卡购买美国主机 (从购买域名, 空间, 安装WordPress, 到网站上线只需10分钟): 可用支付宝, PayPal, 信用卡购买美国主机 (从购买域名, 空间, 安装WordPress, 到网站上线只需10分钟)
2) 讲解怎么购买域名和空间, 并安装WordPress (只需12分钟): 讲解怎么购买域名和空间, 并安装WordPress (只需12分钟)
安装WordPress后，你的网站就马上上线了。你只要在手机，电脑，或平板电脑的网站输入栏打进你的域名 ，你就可以看到你的网站。
关于US Domain Center
US Domain Center(美国域名中心)是一家知名的美国域名注册商。它不但为世界各地(中国，美国，加拿大，和澳大利亚等等)提供域名注册服务，它还提供高速空间(主机空间)。还有，如果使用US Domain Center的域名和空间，你无需向政府备案。还有，该公司也接受不同的货币支付(人民币，美元，和加币等等)。
域名注册 (Domain Registration)
选择US Domain Center (美国域名中心)的几个原因:
1. 域名查询及批量查询及注册易如反掌
2. 免费赠送专业电邮(如, info@yoursite.com)
3. 自动将专业邮件指向已存在的邮箱帐号
3. 拥有全部域名管理权, 可以随意更改信息
4. 免费的DNS服务和管理
5. 免费的域名防盗保护, 防止域名未经准许被转出US Domain Center
6. 免费提供各种域名注册的售前售后咨询服务
高速主机空间 (Hosting)
US Domain Center也提供高速主机空间(Hosting)。该公司的全球数据中心让网页更快加载，并保证99.9%正常运行时间。中文官网: 美国域名注册中心(cn.usdomaincenter.com)是美国领先的域名注册服务提供商, 该公司为美国,中国,加拿大等世界各地的客户提供高速主机空间, 网站建设等网络服务。
如何进入WordPress网站后台
WordPress网站后台登陆默认地址是网站域名+后台目录。
(把yoursite换成你的域名)就可以。
例如，我们的域名是 用WordPress建网站 - 简单快速地用WordPress建立专业网站教程，那么我们WordPress网站后台的登陆地址是 jiuwo.com/wp-admin
免费资源: 用WordPress建站视频教程
1) 用WordPress搭建完整网站视频教程 (从零开始只需1小时)
该视频对所有的浏览者或读者免费开放。你只要跟着这个视频教程做，你就可以自己动手搭建一个专业的网站。我们会一步步教你如何建立你的第一个网站。
在YouTube观看:
在土豆观看: 用WordPress建立专业网站视频教程 (一步步建站, 一步也不少)
2) 新手WordPress视频教程: 学习如何建立响应式网站的全套流程
只要你跟着我们这个45分钟的教程做就可以建立一个专业响应式网站(可以在手机，电脑，或平板电脑浏览)。你也可以对该网站进行任何的个性化修改(不需任何专业知识)。
在YouTube观看:
在土豆观看: 学习如何建立响应式网站的全套WordPress视频教程_土豆_高清视频在线观看
3) 建立WordPress电子商务网站视频 (WooCommerce教程)
如果你已经根据第一个视频教程建立了一个网站或者你已经拥有自己的WordPress网站，我们这个视频将会教大家如何使你的网站成为一个专业的电子商务网站。同样的，你也不需任何的专业知识来搭建一个功能强大的电子商务网站。
观看链接：建立WordPress电子商务网站视频 (WooCommerce 教程)
希望以上的WordPress视频教程对你有帮助。
