第一次接觸到xss是在wooyun，看到那麼多xss，可是自己卻無從下手，又不懂js，只能百度xss代碼來一個個研究。研究到最後還是有點成果，起碼知道alert是彈窗口，是最簡單來檢測xss的代碼；src可以鏈接到另一處。不過現在理解的比較透徹了，其實xss就是在網頁中出現了人爲構造的惡意js，如果不加防護那麼瀏覽器就會“一視同仁”的執行，誰瀏覽了這個網頁誰就遭殃了。。。之後我就去你努力地尋找xss，在百度一個一個網頁的找，有時候十幾頁也沒有結果，但是汗水背後總是有喜悅的，我找到幾個存在xss的網站，還都是中大型網站。接着我就在考慮了，怎麼來就收cookie呢？幾年前的方法是自己建服務器，然後把cookie傳到自己的服務器上。但是我問了一個前輩，現在都再用xss平臺，方便省事。但是經過我的尋找，開放註冊的xss平臺都不太靠譜，好的xss平臺還沒有註冊碼。。。鬱悶。。。最後想，那我自己在新浪雲平臺上自己搭建xss平臺吧，可是就是解決不了訪問需要密碼的問題。。。鬱悶。。。最後找到了兩個還不錯的xss平臺，不過也不穩定，每個月總有那麼幾次。。。無法訪問。。。咳咳，不要瞎想。最後成功拿到了cookie，那怎麼才能登陸呢?ie的cookie貌似不讓訪問，最後試一試抓包改包行不行，這個當然登陸不上，其中原因困擾我好長時間。其實很簡單，改包後只是你的改包軟件登陸進去了，瀏覽器在訪問的時候還是會發送原來的cookie，當然不會成功了。其實啊d什麼的就有改cookie的功能，只是一直沒有發現。
就這樣我成功的掌握了xss。經過我的很多次實驗，發現了一些大網站修補xss的技巧，在這裏給大家分享一下(由於本人對代碼瞭解甚少，所以只是給大家提供一個思路)
1.過濾，如果提交內容含有script，img，frame，a等內容，直接刪掉。
2.將提交內容進行html編碼處理，比如將<script>轉化成%3cscript%3e之類的。
3.還有一種比較奇葩的，就是讓用戶通過選擇來提交數據，沒有辦法構造xss，不過要小心通過改包來構造xss。
