跨站脚本攻击
XSS 是一种既热门又不太重视的Web攻击手法，原因有下：
耗时间
有一定几率不成功
没有相应的软件来完成自动化攻击
前期需要基本的 HTML、JS 功底，后期需要扎实的 HTML、JS、Actionscript2/3.0 等语言的功底
是一种被动的攻击手法
对 website 有 http-only、crossdomain.xml 没有用
但是渗透测试人员并没有冷落该漏洞，原因只有一个：XSS几乎每个网站都存在 ！
这里以三亚技师学院为例，这个存在一个XSS漏洞，这里我们可以构造恶意代码，找到参数returnUrl，值设置为../Admin/Index.aspx”onmouseover=sRst(9467) bad=”，然后再源码里看看:
构造好代码之后，把URL变为短连接发送给管理员，诱惑管理员打开就可以获取到cookie，所以经常说不要随便打开来历不明的链接。
这里推荐用XSS Platform ，默默等待吧。最后想说，对于学生站还是稳一点，恍恍惚惚。
