正版资源XSS跨站脚本漏洞精讲／原理／绕过／防御
《XSS跨站脚本漏洞精讲／原理／绕过／防御》image.webp (34.97 KB, 下载次数: 90) 下载附件 保存到相册 2021-7-15 02:05 上传【技能收获】学完可掌握：网络安全 / CTF。课程以实战为导向，覆盖从基础概念到完整项目落地的关键步骤，配套章节笔记便于课后复盘与面试前快速回顾。【学习建议】建议按目录顺序学习，先打基础再进入综合实战章节；每完成 2～3 节可结合笔记整理一份学习小结，最终尝试独立复现一套完整 Demo 写入个人作品集。【就业发展】可面向岗位：Linux 运维工程师、SRE、云计算工程师、DevOps 工程师。云原生与自动化运维仍是企
支付成功后自动发货，可在「我的订单」查看网盘链接；链接失效可联系客服免费补链。
这门课的主题很明确：XSS 跨站脚本漏洞的成因、绕过手法与防御落地。它不铺开讲整个 Web 安全体系，而是把 XSS 这一类漏洞从浏览器解析机制讲到后端过滤逻辑，再落到实际可运行的验证环境。对已经写过页面、用过浏览器开发者工具、但没系统梳理过注入类漏洞的人来说，这种聚焦式的内容比泛泛的安全概论更容易对照实践。
从渲染流程理解 XSS 为什么成立
课程没有一上来就列 payload，而是先拆 HTML 解析、DOM 构建、JavaScript 执行时机这三段。XSS 的本质是用户可控数据进入了执行上下文，而浏览器无法区分“数据”和“代码”。理解这一点之后，反射型、存储型、DOM 型的区别就不再是三个孤立的分类，而是数据在服务端与客户端之间流转路径的不同。配套的示例页面可以直接在本地浏览器里打开，观察输入在不同上下文中的解析结果，比只看图示直观得多。
绕过部分对应的是过滤逻辑的边界
绕过章节是这门课信息密度最高的部分。它按过滤器的实现层次来组织：字符黑名单、标签白名单、属性过滤、编码处理、CSP 策略。每一类都给出对应的绕过思路，比如大小写混用、非常规事件属性、HTML 实体与 URL 编码嵌套、利用浏览器容错解析等。重点不在于记住某个 payload，而在于看懂“过滤发生在哪一层、浏览器在哪一层做最终解释”之间的错位。这种错位才是绕过长期有效的根本原因。
防御章节要按输出上下文来写
防御部分没有停留在“过滤特殊字符”这种笼统说法上，而是按输出位置区分处理：HTML 主体、属性值、URL、JavaScript 变量、CSS。每个上下文需要不同的编码方式，用错编码等于没编码。课程同时涉及 HttpOnly、CSP、输入校验与输出编码的配合关系，并说明为什么服务端模板引擎的自动转义不能覆盖所有场景。这部分适合拿来对照自己项目里的模板输出点，逐处检查是否存在未编码的直接拼接。
可复用的练习结构与自学路径
- 用本地搭建的靶场环境复现每一类漏洞，先手动验证再考虑工具化。
- 把绕过示例按“过滤层—绕过手法—浏览器行为”整理成对照表，便于复盘。
- 防御部分逐条对应到自己写过的一个表单或评论模块，改成按上下文编码的输出方式。
- 最后用一个包含输入、存储、渲染三段的最小 Demo 串起完整链路，作为可展示的练习产物。
整体来看，这份资料适合当作 XSS 专题的对照手册：先跟着示例把原理跑通，再回头检查自己代码里的输出点。它不替代系统的 Web 安全学习，但在注入类漏洞这一块，能提供比零散笔记更完整的结构。
image.webp (34.97 KB, 下载次数: 90) 下载附件 保存到相册 2021-7-15 02:05 上传
课程推荐
《XSS跨站脚本漏洞精讲／原理／绕过／防御》image.webp (34.97 KB, 下载次数: 90) 下载附件 保存到相册 2021-7-15 02:05 上传【技能收获】学完可掌握：网络安全 / CTF。课程以实战为导向，覆盖从基础概念到完整项目落地的关键步骤，配套章节笔记便于课后复盘与面试前快速回顾。【学习建议】建议按目录顺序学习，先打基础再进入综合实战章节；每完成 2～3 节可结合笔记整理一份学习小结，最终尝试独立复现一套完整 Demo 写入个人作品集。【就业发展】可面向岗位：Linux 运维工程师、SRE、云计算工程师、DevOps 工程师。云原生与自动化运维仍是企业 IT 刚需方向，认证 + 实战项目组合能显著提升面试通过率，适合向中高级运维或架构岗进阶。 若你已有一定编程或运维基础，本课程可帮助你在现有技能栈上快速叠加热门方向能力，提升求职时的项目说服力与薪资谈判空间。
视频目录（23 节）
* 1-1 【理论】XSS漏洞原理介绍.mp4
* 1-2 【理论】XSS漏洞分类介绍及应用.mp4
* 1-3 【理论】XSS利用方式及应用.mp4
* 1-4 【实验】通过实验深入了解XSS漏洞的三个分类.mp4
* 2-1 【实验】XSS平台-开源项目.mp4
* 2-2 【实验】XSS平台-BEEF.mp4
* 3-1 【实验】XSS漏洞环境说明.mp4
* 3-2 【实验】XSS绕过初体验.mp4
* 3-3 【实验】XSS事件触发绕过.mp4
* 3-4 【实验】XSS语法逃逸.mp4
* 3-5 【实验】XSS白名单绕过.mp4
* 3-6 【实验】HREF属性绕过.mp4
* 3-7 【实验】XSS双写绕过.mp4
* 3-8 【实验】HTML实体编码绕过.mp4
* 3-9 【实验】特殊场景逻辑绕过.mp4
* 3-10 【实验】利用隐藏字段绕过.mp4
* 3-11 【实验】HTTP头部XSS.mp4
* 3-12 【实验】Angularjs绕过.mp4
* 3-13 【实验】利用HTML语法特性绕过.mp4
* 3-14 【实验】可控变量绕过.mp4
* 3-15 【实验】XSS绕过测验一.mp4
* 3-16 【实验】XSS绕过测验二.mp4
* 4-1 【理论】XSS漏洞防御.mp4
