最近开始学习web安全工程师的课程 立面涉及到了xss的相关原理 为了更好的学习其攻击原理 在网上找到了相关的训练平台
源代码下载：链接：https://pan.baidu.com/s/1n3huSSHsW7OOXc8QtNBX5g 提取码：3yot
攻略：https://blog.csdn.net/qq_43531669/article/details/90347006
以下是关于相关注入点以及相关方法的记录：
1.无过滤
2.闭合双引号
3.对尖括号有过滤 使用οnclick=‘javascript:alert(1)’
4.on被屏蔽 改用<a href='java>
5.href被屏蔽 用大小写绕过
6.完全被屏蔽 双写 sscriptcript
7.大小写不管用 采用转换十六进制的方式
https://www.qqxiuzi.cn/bianma/zifushiti.php
8.对输入的网址不显示 加入http：//
9.没有输入点 type=hidden 查找注入点
10.构造referer实现攻击 有变量为HTTP_REFERER时使用
11.ng-include 包含带有xss的页面
12.%0d绕过空格检测
13.onclick在flash时不好用 可以考虑onmouseover