它是一个内框，src后面是显示的内容，然后我们输入：alert('xss')，输出xss代码。 这不是形成一个弹出框吗？
看来必须要练习一次才能自己掌握。 。 。
1.3. 使用标签的href属性来弹出窗口
1.3.1 什么意思？ 。 。 国光大老连字都没写。 。 。 那我自己检查一下。 。 。
标签的href属性用于指定超链接目标的URL。
href 属性的值可以是任何有效文档的相对或绝对 URL，包括片段标识符和片段。 如果用户选择标签中的内容，浏览器将尝试检索并显示由 href 属性指定的 URL 表示的文档，或执行表达式、方法和函数的列表。
#我可以看到超链接的含义。 。 。 。 幸运的是，我已经玩了一两天 HTML。 嗯，我不能说我一两天就学会了。 。 。 = = ,
1.3.2 代码
<a href=javascript:alert('XSS')>shiyana>我们将这封信超链接到弹出窗口：alert('XSS')。 。
#好像是他说的，不过我没仔细看。 。 。 。
效果和直接用浏览器打开这个地址是一样的::alert('xss')
您还可以使用: :alert(.) 弹出当前会话。
# 让我先试试。 。 。 。
确实，我会尝试下一句话。 。 。
1.3.3 定义与使用
标签定义从一个页面链接到另一页面的超链接。
元素最重要的属性是href属性，它指示链接的目标。
请参阅此列以获取示例。
<a href="https://zhuanlan.zhihu.com/shiyan”>渗透·笔记a>#我这里改到这个栏目了，国光大神不会打我的。 。 。 。 。 要求轻轻敲打。 。 。 。
1.3.4 效果图
#妈的，知乎这么厉害。 。 。 除了干净的界面外，该栏目还支持GIF图片。 。 。
# 再检查一遍，还是不强。 。 。
# GIF地址：/gif.gif
1.4. 使用标签来弹出窗口。
1.4.1. 代码
<img src=1 onerror=alert('xss')>src后面的参数是图片地址，为了方便测试，我们将其设置为1，也就是错误值，然后就可以触发事件了（遇到错误时触发）。 。 。
#有点头晕。 。 。
#我会仔细看看，亲自尝试一下，然后更好地理解。 。 。
好像有点明白了，，，，
国光大师：当然，如果你在src中填写正常的URL，就不会出现弹窗，因为触发条件是报错。
话不多说，让我们尝试一下。 。 。
让我走吧，确实如此。 。 。
国光大师：当src后面的值正确的时候，这个事件也可以用来触发弹窗。
# 我最好用浅一点的颜色，低调一点。 。 。 。
<img src=http://http://www.sqlsec.com/favicon.ico onclick=alert('xss')>不管src后面的值是否正确，只要鼠标点击，就会触发弹出事件。
果断直接上传GIF图，我不想模仿！ ！ ！ 我是好人！ ！ ！
# 顺便说一句，我没有现成的GIF录制工具。 。 。 。 虚拟的！ ！ ！
#不给力，差评！ GIF地址：/xssg2.gif
我的例子：
与下面类似的事件有很多类型。
1.4.2. 列出常见事件
1.4.2.1.事件属性
事件功能
发生错误时运行的脚本
页面加载完成后触发
1.4.2.2。 活动
事件功能
当用户按下某个键时触发
当用户点击按钮时触发
当用户释放按键时触发
1.4.2.3。 鼠标事件
事件功能
当鼠标单击元素时触发
当在元素上按下鼠标按钮时触发
当鼠标指针移动到元素上时触发。
当鼠标指针移到元素上时触摸
当鼠标指针移出元素时触发
当在元素上释放鼠标按钮时触发
1.4.3.定义及使用
img 元素将图像嵌入到网页中。
请注意，从技术上讲，该标签并不将图像插入网页中，而是链接网页中的图像。 标签为引用的图像创建占位符。
标签有两个必需的属性：src 属性和 alt 属性
所有支持事件的 HTML 标签都可以弹出窗口。 HTML 中有许多支持事件属性的标签。 下面我将介绍它们。
1.5. 列出一些支持事件的常见 HTML 标签
我擦了，我一一复制，我真的一一复制了。 。 。 。 。
直接截图。 。 。 。 。
#大神别打我。 。 。 。 。 。
因为第一个问题没有任何过滤，理论上支持调用HTML事件属性的标签都可以成功弹出窗口。 这是一个。
1.6.合成点代码
http://10.211.55.16/xss/example1.php?name= 移动到元素触发xss
利用a标签的href属性触发
#继续不厉害，GIF地址：/.gif
然后继续我的实例。 。 。
先贴出来复制一下，搭建环境。 毕竟我很懒= =！ ！ ！
然后我就开始一张一张地玩。 。 。
为了方便识别，我把弹出的弹框改成了1、2、3、4、5等数字。
然后第二个，通过点击按钮触发xss。
第三，点击触发事件。
乐趣！ 再次触发，这个。 。
接下来，“使用 a 标签的 href 属性触发”。 。 。
我们再玩一次，最后一场。 。 。 。 。
好了，差不多完成了，我继续按照步骤开始玩第二关！ ！ ！
嗯，没有弹出来。 。 。 然后我会切换大小写并重试。 。 。
好了，成功了，我们进入第三关吧！ ！ ！
那么就不行了。 。 。 。 。
我倒要看看国光大师是怎么过这一关的。 。 。 。
他首先测试了这个级别过滤的内容。 。 。
那么就可以判断已经过滤了。
然后开始构建。 。 。
当你把里面的过滤掉之后，不就只剩下这个xss了吗？
锋利的。 。 。 。
然后继续第四关！
这个方法不行了，直接显示错误。 。 。
然后，我按照上面学到的技术查看过滤了哪些内容，我确定
就不直接测试了，不然又会显示错误，所以看看其他的有没有被过滤掉。
我擦。 。 。 我真的无能为力，，，，不，我会尝试一个伪协议看看。
嗯，不。 。 。 。
让我看看国光怎么样了。 。 。 。 。
他用了这个标签，，，，让我试试。 。 。
好吧，我还是有点菜鸟。 。 。 。 。
继续5级！ ！ ！
嗯，，，卡住了。 。 。 。
然后我会尝试另一个标签。 。 。 。
我再改一下。 。 。 。
算了，，，我看看大师都做了什么。 。 。 。
好吧，编码被绕过了。 。 。 。 。
看来我xss技能还是不太行= =！
继续6级！ ！ ！什么
什么意思？ 我会检查源代码。 。 。
好吧，经过我的多次测试，关闭失败了。 。 。 。 继续教程。 。 。 。
我会看一下源代码。 。 。 。
前额。 。 。 。 。
我擦了！ ！ ！ ！ 不再！ ！ ！ ！ ！
这才六级，我过不了。 。 。 。 。
我自己都受不了这些食物。 。 。 。 。 。 。 看来我得好好研究一下xss了。 幸运的是，我读了好几遍。 。 。 。 。 。
-------------------------------------------------- ----------------------------------------------------
博客地址：
国光-硕辉跟着他。 道路艰难而漫长。
-------------------------------------------------- -----------------------------------------------------------
停止这样做并去睡觉。 。 。 。 。 我太擅长了，，，，
