XSS跨站攻击视频教程（共22课）-365网络学院提供

XSS 的教程在市面上不算少，但多数是散在几个小时的"大课"里的一个章节，或者干脆是几页 PPT 讲完分类就过。专门拿一整套 22 课来讲跨站脚本的资料，确实不多见——这套就是其中之一。它不新，但胜在章节密度高，把反射、存储、DOM 三条线拆开讲，而不是笼统地讲"XSS 有几种"。对已经会一点 Web 基础、想把漏洞原理啃透的人来说，它的价值在于能当一份可反复翻的对照材料。

课纲的含金量：22 课怎么切分

从结构上看，这套课基本遵循"概念—分类—利用—绕过—实战"的推进方式。前几课会交代 XSS 的成因，也就是浏览器把用户输入当代码执行这个核心问题，接下来分别展开反射型、存储型、DOM 型三类。这三类值得分开精看，因为它们的触发位置完全不同：反射型在服务端回显，存储型落在数据库，DOM 型则根本不经过服务端。很多人混淆的正是第三类，而课程里能单独给它留出篇幅，说明编排上是有想法的。

中间段大概率会覆盖常见的利用手法，比如窃取 Cookie、构造钓鱼、结合 CSRF 做组合拳。这部分是判断一套 XSS 课是否"能打"的关键，光讲弹窗的教程没有意义，能从 payload 讲到实际危害链条，才算讲到位。

哪些章节值得精看，哪些可以快进

基础概念部分如果已有 Web 基础，可以倍速过一遍，重点只放在"同源策略"和"浏览器解析顺序"这两块，它们是后面所有绕过的根。真正需要暂停、反复拖进度条的，是三类 XSS 各自的实战演示段和涉及编码绕过、长度限制、过滤规则的那几课。过滤绕过是 XSS 里最考验手感的部分，看一遍很难记住，通常要对着演示自己复现一遍才有效。实战综合的那几课建议放在最后集中看，把前面零散的点串起来。

资料包怎么拆开用

这类资料别当成"看完就完"的视频流。比较实用的拆法是三份材料并行：视频当主线过一遍建立框架；章节笔记用来做课后复盘，把每类 XSS 的触发条件、利用条件、修复方式整理成三列表格；演示环境里的代码或靶场留着自己动手改 payload。检验有没有学进去，标准很简单——能不能在不看教程的情况下，针对一个带过滤的输入点，自己判断出该用哪种编码、哪种事件属性。做不到，就说明还停在"看懂"的层面。

学之前要想清楚的两件事

• 这是攻击视角的教程，学完更该关心的是防御：输出编码、CSP、HttpOnly 这些对策，课程里如果有提到要重点记，因为实际工作里写代码的人远比打靶的人多。
• 22 课的信息量大但节奏紧，建议按顺序走，别跳着看，否则到绕过部分会跟不上前面埋的伏笔。

整体而言，这套课适合拿来当 XSS 的专题补课材料，而不是入门第一课。如果你已经了解 HTTP 和基本的前端知识，想在这个具体漏洞上把根扎深，它的章节编排和实战比例都对得起花的时间。