我认为，无论是学习安全还是从事安全的人，多多少少都有些许的情怀和使命感！！！
一、xss漏洞利用平台-搭建与测试
1、详细说明
链接：https://pan.baidu.com/s/1j0SGhYDyJlu6cewfRroMVw?pwd=rnq4
提取码：自填2、下载地址
链接：https://pan.baidu.com/s/1j0SGhYDyJlu6cewfRroMVw?pwd=rnq4
提取码：自填3、搭建过程
（1）切换到目录C:WindowsSystem32driversetc，在hosts里面绑定域名127.0.0.1 www.xssplatform.com 
（2）在phpstudy里面绑定域名和指向文件夹【注意要点击保存配置并生成配置文件】 
（3）创建数据库 xssplatform 
（4）修改config.php文件【注册用户后，可以把注册类型从normal切换为close，即不允许再注册用户】
（5）修改authtest.php这个是用来做基础验证 
（6）修改数据库xss-MYSQL.sql文件，并且将数据库文件导入xssplatform数据库 
（7）开启apache的伪静态模块
（8）访问首页，http://www.xssplatform.com/xss.php?do=login
【管理员登录admin/1234567】 
（9）可以自己注册一个用户，http://www.xssplatform.com/xss.php?do=register
【自定义用户：qwsn/6位密码】 
（10）在第8步的基础上，测试登录后台，http://www.xssplatform.com/admin/ 
【假如没有在第8步登录admin，或者说是登录失败或登陆了其他的账号，然后再到URL栏里面直接输入/admin/进入后台是会被拒绝访问的，如下所示】 
4、测试模块：基础认证钓鱼【总是失败】
注意：php的版本会导致以下一系列的问题，因此有哪些步骤不成功就换个版本测试！！！
【基础认证钓鱼】
第一步：创建项目 
第二步：配置目标 
【验证伪静态】 
【测试钓鱼网站：随便复制一个payload到www.exploit.com网站下的一个html页面内】
【浏览器访问该demo.html，弹窗基础认证框】 
5、测试默认模块：窃取cookie【成功】
【默认模块 获取cookie】 
【靶机配置hosts文件】 
【攻击者把payload放入靶机的留言板】 
【xssplatform平台项目成查看是否得到cookie信息】 
6、安装其他模块
（1）修改数据库XSS-module(模块一).sql文件，将数据库文件导入xssplatform 
页面访问xssplatform，发现模块变多了 
（2）修改数据库XSS-module(模块二及附加文件).sql，将数据库文件导入xssplatform
步骤同上 
7、测试模块：获取内网 ip【时好时坏】
【获取内网 ip】 
8、测试模块：键盘记录器【成功】
9、测试模块：html5截屏【失败】
图略
10、测试模块：获取xss02.php页面源码【成功】
11、总结
经过测试，只有窃取cookie信息、键盘记录和获取指定页面源码最容易成功！！！ 