上午帮助客户做了点苦力
下午xss，看了会xss本地平台搭建，有点迷
xss的原理防御措施：https://www.cnblogs.com/syw20170419/p/8639246.html
3种基础的验证方法，验证xss是否存在
1、在交互页面输入：<script> var valtest='{$dd}';</script>，页面的编辑按钮消失，且出现了\N。
2、在交互页面输入。alert('xss')</script> 漏洞代码，查看是否出现弹框中显示出xss
3、在交互页面输入alert(1)，仍查看是否出现弹框。
xss的分类：https://www.cnblogs.com/hanson1/p/7102004.html
xss注入漏洞产生的原因？xss注入过程步骤是什么？防范xss注入的方法有哪些：https://zhidao.baidu.com/question/1307657653242480739.html
继续昨日第6关
输入之前关卡的注入代码发现都不能注入
这里对href进行了过滤
我们需要进行大小写更换
把h变为大写注入"/><a Href='javascript:alert(1)'>a</a>//
第7关
这一关是直接做了关键字的过滤操作，我们无法使用href，src等触发xss
根据昨日的xss绕过方式我们可以使用重复写标签进行xss攻击
第8关
第8关为DOM型xss
需要根据友情链接进行注入
在选中处更改代码，第8关感觉需要熟练的java功底
需要尝试对javascript这个函数的关键部分进行编码操作，无论是16进制编码还是Unicode编码均可以暂时还看不懂
再之后需要运用其他软件比如burp抓包工具等进行数据表的更改完成注入
关于xss本地搭建还在学习中
