XSS-存储型

@实操视频https://www.bilibili.com/video/av26679456?from=search&seid=13377211289924067562

存储型的注入对象不是搜索框了，是那种会被存储在页面里的输入（如blog的评论，输入评论，任何人进入页面都会看见评论）。

因此当输入如<script>alert("xss")</script>的语句，该语句会被浏览器解析，通过F12会发现这个语句被永远存在html里了（一般发表的评论不会被解析，不会存在html里），每次只要访问这个页面，这句结js都会执行，跳出弹窗

所以当我们输入恶意js代码，其他用户每次访问该页面（都不用被动等用户点什么美女照片），攻击语句就会执行，然后cookie被盗走之类的事就神不知鬼不觉地发生了，用户好无辜，就登录一下而已。。

攻击语句：

172.22.146.30是攻击者的本机ip（本机ip查看方法：cmd--ipconfig），这句语句的作用是将cookie发送到本机

本机监听80端口，接收数据

每当一个用户访问页面，其cookie等就发过来了

获取cookie后，把页面原本攻击者自己的cookie改成盗来的，就登录别人的账号了

（cookie这串字符，没有具体记录用户的用户名、密码，只是用户特有的一个登录令牌而已，有这串字符，不需要用户名和密码也能登录了。根据设置，cookie会在比如3个月后失效，那时又会有新的cookie了）