从xss挑战之旅来重读xss（一）

在开始这篇文章以前，先简单聊几句：javascript xss不少时候是鸡肋，好比说self-xss 不少厂商都会注明拒收反射xss，如58src 遇到请证实危害性的说法就走，人家的潜台词也是拒收反射xss 遇到收反射xss的，证实截图拿cookies能比alert弹个窗多不少money xss有时候也值不少钱，好比说某厂商的一个存储xss就给了3.5k 其实咱们基本上都知道xss是什么，在给厂商

>>阅读原文<<