系統(tǒng)程序沒有對用戶提交的變量中的代碼進行過濾或轉(zhuǎn)換，在用戶輸入頁面可插入 JavaScript、 Active等惡意腳本。

2.2 XSS攻擊大致上分為兩類：

一類是反射型XSS，又稱【非持久型XSS】

一類是儲存型XSS，也就是【持久型XSS】

什么是反射型XSS？
攻擊相對于訪問者而言是一次性的，具體表現(xiàn)在我們把我們的惡意腳本通過url的方式傳遞給了服務(wù)器，而服務(wù)器則只是不加處理的把腳本“反射”回訪問者的瀏覽器而使訪問者的瀏覽器執(zhí)行相應(yīng)的腳本。也就是說想要觸發(fā)漏洞，需要訪問特定的鏈接才能夠?qū)崿F(xiàn)。

什么是儲存型XSS？
它與反射型XSS最大的不同就是服務(wù)器再接收到我們的惡意腳本時會將其做一些處理。
例如儲存到數(shù)據(jù)庫中，然后當我們再次訪問相同頁面時，將惡意腳本從數(shù)據(jù)庫中取出并返回給瀏覽器執(zhí)行。這就意味著只要訪問了這個頁面的訪客，都有可能會執(zhí)行這段惡意腳本，因此儲存型XSS的危害會更大。
以下文章中會提到的留言板的例子，那通常就是儲存型XSS。當有人在留言內(nèi)容中插入惡意腳本時，由于服務(wù)器要像每一個訪客展示之前的留言內(nèi)容，所以后面的訪客自然會接收到之前留言中的惡意腳本而不幸躺槍。
這個過程一般而言只要用戶訪問這個界面就行了，不像反射型XSS，需要訪問特定的URL。

2.3 舉例說明
圖片2
圖片3
圖片4
圖片5

2.4 實戰(zhàn)操作
圖片6

#軟件測試就業(yè)現(xiàn)狀
#軟件測試沒有經(jīng)驗怎么入行
#軟件測試面試題
#軟件測試自學(xué)路線
#軟件測試簡歷
#軟件測試騙局
#軟件測試培訓(xùn)班
#軟件測試找工作現(xiàn)狀
#測試工程師
#軟件測試工程師