本文目录一览：
- 1、关于校内网的问题，高手进！
- 2、请问知道MYSQL账号和密码可以入侵吗?
- 3、一个完整的渗透测试流程，分为那几块，每一块有哪些内容
- 4、我做的网站被漏洞检测说是有什么xss跨站脚本漏洞，怎么修复啊，哪位大侠帮看看！！
- 5、kali linux beef怎么上钩
- 6、钉钉如何领取学生号？
关于校内网的问题，高手进！
如何注册成为校内网用户？
校内网xiaonei.com现阶段向高中生，大学生和公司用户开放，为保证用户隐私，你需要经过以下步骤才能注册成为正式用户：
到注册页面，填写您的真实姓名，邮箱地址和设置密码。选择您是高中生，大学生或公司用户，我们将根据您的身份来决定您的注册方式和资料填写。根据要求填写相应的注册信息，用自己的email作为账号注册；
到你的注册邮箱查收来自校内网的激活信，点击邮件里的激活链接激活你的账号，如果你的邮箱收不到校内网的激活信，可以从注册邮箱向reg@xiaonei.com发信申请激活；
激活成功后通过验证即可成为正式用户。
如何验证你的身份？
你可以通过以下任何一种方式验证你的身份：
高中生用户：根据我们所发放的注册码注册（注册码和学校是相对应的，一个注册码只能注册一个账号）;没有填写注册码的同学注册进入后成为待审核状态，需寻找同校同学，并发送加入高中网络的申请，待对方对你进行身份认证。
大学生用户：注册时所用机器IP在所选学校IP列表里或者用学校官方邮箱注册的账号激活后直接通过身份验证；如注册时IP与该大学的IP不符也没有学校官方邮箱，则需提交相关资料，经管理员审核批准加入。
公司用户：目前只允许通过公司邮箱认证您的公司用户身份，没有公司邮箱将确定不了您的身份，不予注册。
为什么需要激活？
为了方便你在忘记密码或者帐号被盗时取回密码和帐号，你需要到你的注册信箱中激活校内网帐号。
我没有收到激活信怎么办？
先试下重发激活码
如果你还没收到激活信,你可以从你的注册信箱给reg@xiaonei.com发信，管理员会尽快解决
登录
为什么很多操作需要登录才能执行？
校内网的同学们大多使用真实信息，为了保护同学们的隐私，凡是涉及到同学们具体信息的操作，都得登录以后才能执行。
登录失败怎么办？
可能你还没有注册，先去注册吧。
可能你的账号还没有激活，先激活你的账号吧，查收校内网寄给你的信，点信内的链接，就可以激活账号了；没收到激活信？
你的注册email或密码输入错误，比如不小心输错了大小写。
试过好多次，还是账号密码错误，试下取回密码吧
账号密码
忘记密码怎么办？
系统提示密码错误后，你可以点击“取回密码”，输入注册邮箱后，到该邮箱中去查收取回密码的信件。如果你试过后没有收到取回密码的信件，那么你可以从该邮箱中发信给reg@xiaonei.com申请取回密码。
如何修改注册邮箱？
点击页面左边“账号信息”，可以修改邮箱。注意，你修改了登录email以后，校内网会给你的新email发送一个验证链接，你需要用该链接验证这个新的email属于你，修改的email才会生效。
如何修改密码？
点击页面左边“账号信息”，可以修改密码。
邀请
如何邀请朋友加入校内网？
点击首页链接“邀请朋友加入校内网”。
通过msn邀请：输入你的msn帐号的信息，我们会帮你找到你有哪些msn朋友已经注册了校内，你还可以向没有注册校内的朋友发送邀请邮件。我们不会记录你的帐号密码或未经允许发送邮件。
通过链接邀请：点击“复制邀请链接”，然后把这个链接发给朋友，邀请他们注册，或者把这个链接复制到你的QQ或MSN的签名档中。
通过Email邀请：在收信人处填写朋友的 Email 地址，如果要一次多邀请几个，可以用逗号来分隔多个Email，然后点击“发送邀请”即可。
什么是校内介绍人？
你的同学接受邀请加入校内网后，你便成为他们的校内介绍人。作为他们的校内介绍人，你的信息会出现在他们的页面上，以方便他们找到你并融入校内网。
网络设置
在校内，默认同网络的人是可以互相浏览个人主页的，所以加入相应网络决定你在校内的浏览权限。
如何加入网络？
点击顶部导航“网络管理我的网络”，高中生升学后通过ip、email认证或者审核即可加入大学网络。大学生毕业参加工作，可以通过填写你的公司内部工作邮箱来加入公司网络。
如何离开网络？
点击顶部导航“网络管理我的网络”，在你所加入的网络名称右侧，点击“离开网络”即可退出该网络。退出后再想加入仍然需要验证。
什么是当前网络？如何设置？
当前网络表示你目前的真实状况，例如大学生的当前网络应为某大学，公司用户的当前网络应为某大学。当前网络将作为你最主要的网络出现在你的页面上，当你留言、发帖时，会出现你的名字后面。
点击顶部导航“网络管理我的网络”，在你所加入的网络右方，点击“设置为当前网络”即可。
搜索
搜索首页分3个Tab：同事/同学•群•高级搜索。对于不同身份的用户，所使用的搜索功能有所不同。
高中用户的搜索功能：
如何查找高中同学？
在基本搜索中输入你要查询的同学姓名，同时选择你要查询的高中名称，点击‘搜索’按钮: 如果忘记了同学的姓名，或者同学的高中名称，也可以通过只选择姓名或高中名称进行搜索: 在搜索结果页，对搜索结果再进行筛选:
如何查找初中/小学同学？
初中/小学搜索中系统默认了你的初中或小学名称，只需点击‘搜索’按钮，就能找到所有在校内网注册的初中同学: 如果你还记得初中同学的姓名，可以同时输入同学姓名进行搜索: 在搜索结果页中，对搜索结果再进行筛选:
高级搜索
在高级搜索中增加了性别、家乡、生日、星座的搜索属性,可以通过一次性输入条件对同学进行精确搜索。
大学用户的搜索功能：
如何查找大学同学？
在基本搜索中输入你要查询的同学姓名，同时选择你要查询的大学名称，点击‘搜索’按钮: 如果忘记了同学的姓名，或者同学的大学名称，也可以通过只选择姓名或大学名称进行搜索: 在搜索结果页，对搜索结果再进行筛选:
如何查找高中同学？
高中搜索中记录了你的高中名称，只需点击‘搜索’按钮，就能找到所有在校内网注册的高中同学: 如果你还记得高中同学的姓名，可以同时输入同学姓名进行搜索: 在搜索结果页中，对搜索结果进行筛选:
高级搜索
在高级搜索中增加了性别、家乡、生日、星座的搜索属性,可以通过一次性输入条件对同学进行精确搜索。
公司用户的搜索功能：
如何查找同事？
在基本搜索中输入你要查询的同事姓名，同时选择你要查询的公司名称，点击‘搜索’按钮: 对搜索结果进行筛选: 姓名为必填项，不支持单独选择公司名称的搜索。
如何查找大学同学？
大学搜索中默认了你的大学名称，只需点击‘搜索’按钮，就能找到所有在校内网注册的大学同学: 如果你还记得大学同学的姓名，可以同时输入同学姓名进行搜索: 在搜索结果页中，对搜索结果再进行筛选:
高级搜索
在高级搜索中增加了性别、家乡、生日、星座的搜索属性,可以通过一次性输入条件对同学进行精确搜索。
除了搜索页面的搜索功能，还有什么搜索方法？
针对不同信息，校内网提供了全面多样化的搜索功能。你可以通过点击个人主页上的资料信息，如公司、学校、院系、入学年份、宿舍楼、生日、星座、性别、家乡、高中、加入的社团、喜欢的音乐、喜欢的书、喜欢的电影、喜欢的游戏和兴趣爱好等搜索到同身份和你具有相同某种特质或爱好的同学或同事。 另外，你也可以通过校内网高级搜索来搜索具体某些具体信息的同学。
返回个人资料
修改个人资料？
点击页面左边的编辑就可以修改你的基本信息、联系方式、学校信息、个人信息和工作信息等。 基本信息填写真实，这样可以找到老乡、同月同日生。通过你的资料上的学校信息，你的小学、初中、高中和大学同学都可以更方便的找到你。 联系方式，根据个人想法写就好。目前，你的联系只会向你的好友公开。 个人信息是你展示个性的一个方面，如果你希望同你具有相同爱好的朋友可以方便的找到你，可以写的尽可能规范，用正确的分隔符分开每个关键词，书名号可以不写，游戏的版本号也可以不写，如果你不喜欢这些限制可以完全无视这些东西，随心所欲。
日志功能
如何在日志中添加好友？
当你编写或编辑一篇日志的时候，在该页面的右侧会有提示添加相关好友的输入框，只需点击该输入框进入选择好友的下拉菜单，就可以直接对好友进行勾选，确定加哪些跟这篇日志相关的好友。
如何查看添加过自己的日志？
想知道你哪些朋友的日志添加了你，只需要点击页面上方的与我有关的日志，就可以查看所有添加过你的日志。
如何查看添加过朋友的日志？
想知道你的朋友都被添加进了哪些日志，你只要直接进入该好友的日志页面，点击页面上方的‘与xx有关的日志’就可以看到了。
被添加进自己不喜欢的日志，该怎么办？
通过点击‘与我有关的日志’，可以观看到添加你的日志名称以及日志作者，如果你不喜欢被某些日志添加，可以点击该日志条目右侧的‘退出’按钮。退出之后，你的名字就不会在该日志上显示了。
如何使用日志中的导入日志功能？
点击“我的日志”页面右侧的“导入日志”链接，进入导入日志的具体页面；
在导入日志页面的输入框中提交你的站外博客的rss源，阅读并接受校内导入日志服务条款后，点击开始导入；
系统将读取到该站外博客的相关信息，你可以从中勾选导入哪些日志并对它们进行隐私设置。点击导入选中日志后，这些日志将根据你的设置出现在校内日志中。
系统如何自动更新你的导入日志？
系统根据你所提交的rss源，检测到该站外博客有更新时，我们会通过站内信通知你，并在该信件中附带链接。通过该链接到具体页面上勾选导入哪些日志并对其进行隐私设置。
如何更改已经系统提交的导入信息？
若你希望校内不在将该站外博客中的更新日志导入到你的校内日志中；或是想更换之前所提交的rss源导入你的其它站外博客。
在日志首页右侧，可以看见修改导入设置的入口。到导入日志页面修改当前设置。点击“停止导入”后，系统将不再读取你之前所提交的rss源的相关信息。
导入日志同直接在校内发表的日志相比，有哪些区别？
在校内日志中，我们也会将标示这些日志属于导入站外日志，并附上这些导入日志的原地址。这些导入日志将不能再次编辑，但导入人有权删除，其它用户可以分享、评论。
分享功能
我可以分享什么？
通过分享功能，你可以将校内日志、照片、相册、群帖子，活动，个人页面以及站外链接分享给你的好友。
如何分享站内信息？
点击分享按钮，你可以选择添加到你的分享列表或是通过站内信分享给指定好友
选择“分享给我的好友”，我们会将你所分享的内容以及评论通过站内信的方式发送给你指定的好友；或者你可以选择“添加到我的分享”，将该内容添加至你的分享列表中。
如何分享站外资源？
你可以将你感兴趣的资源网址，输入或者粘贴至分享页面右侧的输入框中，点击分享按钮进入分享设置页面，你可以添加评论并且选择分享范围。
怎样删除我的分享记录？
点击分享首页上方的“我的分享”链接，进入你的个人分享页，点击你想删除分享项右上角的“X”即可删除该条分享记录。
返回星级用户
如何成为星级用户？
要想获得星星需要的同时满足这三条：
本人的、真实的、近期的、能看清楚脸的照片作头像；(上传头像)
本人的、真实的中文姓名，可以加些修饰但一定要能看出哪个是名字来；
较为完善的个人资料。
星星是管理员手工处理，可能会有一天的延迟。若用户完善信息24小时后发现自己符合条件却仍然没有加星。可能是被管理员误判了，请点击首页提示的”立刻申请加星”，管理员24小时内会重新审核加星。如果你的首页没有”立刻申请加星”项，则说明你已经是星级用户。
注意：有些同学美化页面的时候，添加的代码可能会导致星星被隐藏。
具体评定标准
成为星级用户之后就一直是星级用户了吗？
不是。如果你换照片、改名字以及修改个人资料，管理员都会重新审核以决定你是否继续作星级用户。
星级用户拥有什么特权？
成为星级用户后，只要登陆，该用户的相册空间就可每天增加1M，一天中若没有登陆则不增加。
新用户注册会得到100积分，经过审核成为星级用户后增加100积分，若删除照片或修改资料导致被取消星级用户资格，则扣掉100积分。
只有星级用户才能更改自己的大学网络和高中网络。
星级用户可以建群、发布告、作群管理员，只有星级用户会在"随便看看"和“人气之星”中出现。注意，建群、发布告、群发站内邀请需要花积分。
人气之星（此功能只对大学用户开放）
什么是人气？
在校内网我们说的人气就是指自己页面被其他同学访问的次数。
如何提高人气？
关于如何提高人气嘛，在群里发很有水平的帖子、写出很吸引人的日志、认真对待每个好友和来访的客人都是不错的主意，还有就是一个漂亮而又与众不同的页面会让大家想再来看看。另外通过一些非正当手段提高人气将属于被人鄙视的行为，情节严重者还可能面临对人气清零甚至删号的危险。
如何成为人气之星？
成为人气之星必须满足：
星级用户；
人气值在本校或在校内网排名前100名；
经常上线。
如何查看本校人气之星？
在你首页下方会随机显示你所在大学的6个人气之星，如果你发现谁的照片是假的可以向系统管理员举报，得到证实后，明天那位同学将不再是人气之星。
关于积分
如何获得积分？
每天每人最多可以获得100，发帖5/帖、日志5/篇，留言评论1/条，不过每个数值会随当天的得分的逐渐接近100而逐渐减少，每天总分不能超过100。
积分怎么花？
建群50/个，布告20/天，邀请5/人，随机招呼1/次。其中建群和布告只有星级用户才能操作。邀请必须是星级用户管理员才可以发出，被邀请者接受的，原来花的5分还给邀请者，不受100分限制，不接受的将不予返还。
负分了怎么办？
负分除了那些需要积分的操作不能作外，没什么不良影响。
积分和星星有关系吗？
没有关系。
返回关于群
如何搜索群？
你可以通过页面左边我的群页面右上角搜索框进行搜索，也可以通过页面上方搜索中的群搜索来搜索。请注意，群的搜索是分大小写的。
如何建新群？
你可以通过页面左边我的群进入新建群里建立一个自己的群，并通过邀请或者其他形式的广告来吸引别人加入。当然如果你建了群之后才发现已经有了类似的群也没关系，如果那个群发展得很好你可以加入他们，把自己的群改个名字留作他用，如果发展的不好，那你就加油超过他们。
订阅该群和加入该群有什么区别？
所谓订阅是针对群而言的，就是不去群主页就能看到群里有没有新帖，有没有新回复，直接点“我的群”即可查看自己订阅的群的最新动态。新注册的用户默认订阅两个群：本校的群和新手上路群。 注意：订阅群和加入群不是一个概念，对于公开群，即使不加入只要订阅了也可以随时关注，对于加入的群如果不订阅的话必须进入群里才能看有没有新帖。订阅或取消订阅一个群在群主页的右上角可以看到对应的链接。
什么是优秀群？
在新手上路页面上有一些不错的群推荐给大家。所谓优秀的群，包含三个因素：优秀的管理团队，积极的群成员和良好的群氛围。其实推荐的这些群最关键的在于它们有了很难得的群众基础，因为一个人很少的群要壮大并非容易的事。而且这些群的首页里有不少友情链接，比如音乐天下里有xiaonei大部分音乐群和歌手群的链接。
如何成为一个群的管理员？
如果你对某个群的内容非常感兴趣，并认为自己可以有能力管理，可以在加入某个群之后，点击右上角的“申请管理员”，等待群主批准或拒绝，如果批准了，你将拥有这个群的管理员权限，包括：对帖子的操作（改主题、删主题、封主题、删回复、置顶及取消）、对成员的操作（踢人、封人、批准加入）、对群的操作（邀请成员、修改页面、增加分版等）。 管理员不仅意味着权利，也包含了责任，如果整天不管群里的事务，不维护秩序，不去邀请人，也不发有用贴，那将没有资格继续做管理员，不如腾出位子给更有热情的人。 另外每个群有一个特殊的管理员叫群主，一般是群的创始人，他可以解除其他管理员的职务，甚至可以删了整个群，所以需要更强的责任心，当群主因为毕业或其他原因无力管理群的事务时，可以将自己的位子让给其他管理员。
如何在群里上传文件？
发贴或回帖时，点击“上传图片或文件”，然后点“浏览”，在电脑上找到想要的文件，点“打开”，然后发表帖子即可。上传的限制是1M，除了把好玩儿的图片贴出来与大家分享外，还有就是储存自己必要的涂鸦板资源，包括图片、音乐、flash和鼠标等。一般的文件都不会超过1M，只有音乐文件可能超，通过软件压缩到32kbps或更低的wma格式即可。 最后提醒大家，大部分学校的群或一些大群都会有单独存放涂鸦板文件的帖子，新手上路群也有置顶贴供大家使用，所以请不要将文件随便跟到与之无关的某一贴里，这将是对发贴者和回帖者的不尊重，而且很有可能被管理员删除，所以为了您和他人的利益请按规定回帖。 现在已经开通了相册功能，如果是自己要用的照片，大家尽量贴到自己的相册，而不是群里，这样可以避免被管理员删掉。 上传的文件格式可以是：jpg、jpeg、png、bmp、gif、mpeg、avi、mpg、wav、m3u、wmv、asf、wm、asx、wma、mp3、swf、rm、rmvb、doc、xls、txt。
关于课程（此功能只对大学生用户开放）
如何给自己添加课程？
在页面左边我的课程里可以添加上过、在上和想上的课程，千万别小看这个，还是很有用的。如果你想上哪门课，可以查找上过这门课的同学，问他一些关于考试什么的问题，买二手课本也成。如果你在上某些课程，可以看看还有谁也在上，问问作业什么的，那天懒得上了还能看看有没有人帮着答个到签个名的。 如果本校课程列表中没有某门课程怎么办？ 如果你确定你们学校有开这门课，那么你可以自己添加课程。
关于活动（此功能只对大学生用户开放）
如何创建活动？
你可以通过页面左边我的活动来创建新活动。
什么样的活动会被推荐在首页？
活动一旦被推荐，会出现在本地区首页随机播放，能够大大提高活动的影响力。被推荐的活动至少要满足以下条件：
活动名称有信息量；
发布者为星级用户（防止发布假信息欺诈）；
有详细的活动计划和时间、地点等；
活动持续时间合理（如上自习一年内有效就会被视作不合理）；
其它酌情处理。
举报设置
如果发现了任何有违规行为的用户、照片或留言，都可以在相应页面上找到举报链接（举报用户的链接在用户页面的下方）。点击链接后页面跳转到填写具体信息的举报页面，需要根据不同情况说明举报原因及描述违规用户的行为。管理员会在第一时间处理您的举报信息，处罚违规用户。
封禁投诉
什么样的情况会被封禁？
任何违反《校内网账号管理办法》的用户会被管理员警告或者封禁某种权限。被封禁的同学不再另行通知，将在使用功能时看到提示（包括封禁的原因和执行封禁的管理员）。
什么样的情况会被封杀账号？
任何违反《校内网账号管理办法》的封禁都是酌情处理，严重的都可能封杀账号。但以下三种情况直接封杀账号，①用机器人攻击网站；②在本站内任何地方上传或散播病毒；③使用恶意代码盗取cookie或者进行xss攻击（如果你看不懂这个描述，证明你不会这么作，hoho）。
打招呼
什么是打招呼？
所谓打招呼就像见面说声Hi一样。打招呼分为随机打招呼和向某个指定的同学打招呼。随机打招呼的链接在“首页”上方，每次消耗一个积分。
加好友
如何加好友？
在他的页面点击“加为好友”，等待对方确认，同意后系统会自动以对方名义给你发一封提醒信。如果仅仅因为对方漂亮或很帅就要加好友，倒也无可厚非，不过无论如何加之前最好向人家说一声，这是对自己的负责也是对他人的尊重，如果你主动加了人家以后却不去理人家，总有一天会被人遗忘的。〔校内网不鼓励大家加太多好友，就象你在现实中不会有上千个好友一样，太多的好友会使你真正的好友的信息被淹没，太多的好友等于没有好友〕
点击“我的好友”可以查看当前在线的好友，适时地问候和祝福是增强友谊的最好方式；点击“好友的日志”则可以方便查看对方更新的日志；点击“好友的相册”可以看到好友最近更新上载的照片。在“我的页面”有按学校分的好友列表，可以按学校迅速找到好友。
如何加为特别好友？
进入“我的好友”，点击好友头像右边的“加为特别好友”后，他将成为你的特别好友并显示在你页面的左侧。通过这个功能你可以介绍这位特别好友给大家。
隐私设置
如何保护我的隐私？
目前系统默认的隐私设置是：用户的页面只能被和自己加入相同网络的人浏览，而联系方式是只对好友开放。点击右上角的“隐私”可以修改相关设置。
用户可以对相册和日志分别指定开放程度，需要注意的是，点击右上角“隐私”设置日志相册相关隐私，只是对你的个人主页上的日志和相册模块是否在你的页面上显示进行设置，而你的单篇日志个单个相册的隐私需要你到日志和照片的编辑页面去设置。
此外，你可以把别的用户加入黑名单，被加入黑名单的人不能对你作任何操作，也看不了你的页面。
黑名单
如果有人骚扰你，或者发信到你的留言板砸场子，可以考虑将他加入黑名单，进入他的页面在页面左下角点击“加入黑名单”即可；反之可以通过“帐户信息-隐私设置-黑名单管理”将其移出。
加为黑名单后，对方不能对你进行任何操作包括无法看你的页面、给你发信或留言等。
如果你们原来是好友的话，你需要先和对方解除好友关系才能找到“加入黑名单”的链接。解除好友关系的方法是：在你的好友列表或者在对方页面左下角点击“解除好友关系”链接。
被很多人加入黑名单有什么后果？
如果某个同学被很多人加入黑名单，管理员将会考虑删除这个同学的账号。
什么是随便看看？
随便看看就像你在学校，公司里随便走走一样，可以看到不同的同学，同事。在在随便看看里你可以看到与你在同一网络中的用户，还可以用下拉框选择查看你加入的其他网络的用户。（但他们必须是与你同身份）。
请问知道MYSQL账号和密码可以入侵吗?
挂马成功主要是靠一种叫 xss ( cross site scripting ) 的手段来达成, 就是将文字在送交你的服务器的内文中插入了程序代码. 然後在你的 cgi 写入数据库时 ( 不管你是 mysql, oracle ... ) 变成了可执行的指令. 目标可以是直接对你的服务器进行攻击, 也可以使其他的浏览者中伏.
要应对这些攻击有很多方法, 详细你可以搜一下 "XSS", 现在大致介绍 3 种方法给你:
将 COOKIES 设成 HttpOnly ( 这样就不能用 javascript 对 cookie 进行写入或窜改 )
将 cookies 设成 Secure ( 前题是你用 https )
在文字输入框全进行过滤, 将 这些符号变成 gt lt , 这样代码就无法运行
最後, 由於 sql 的端口在路由器中不是直接对外 (正常情况下没这种需要, 请检查), 所以挂马人很少对你的 db 进行直接攻击, 而是透过你 cgi 上的漏动而间表操作你的 db 的
一个完整的渗透测试流程，分为那几块，每一块有哪些内容
包含以下几个流程：
信息收集
第一步做的就是信息收集，根据网站URL可以查出一系列关于该网站的信息。通过URL我们可以查到该网站的IP、该网站操作系统、脚本语言、在该服务器上是否还有其他网站等等一些列的信息。
漏洞探测
当我们收集到了足够多的信息之后，我们就要开始对网站进行漏洞探测了。探测网站是否存在一些常见的Web漏洞，比如：SQL注入 。
漏洞利用
探测到了该网站存在漏洞之后，就要对该漏洞进行利用了。不同的漏洞有不同的利用工具，很多时候，通过一个漏洞我们很难拿到网站的webshell，我们往往需要结合几个漏洞来拿webshell。
内网渗透
当我们能跟内网主机进行通信后，我们就要开始进行内网渗透了。可以先使用nmap对内网主机进行扫描，探测在线的主机，并且探测其使用的操作系统、开放的端口等信息。
内网中也有可能存在供内网使用的内网服务器，可以进一步渗透拿下其权限。
痕迹清除
达到了目的之后，有时候只是为了黑入网站挂黑页，炫耀一下；或者在网站留下一个后门，作为肉鸡，没事的时候上去溜达溜达；亦或者挂入挖矿木马。
撰写渗透测试保告
在完成了渗透测试之后，就需要对这次渗透测试撰写渗透测试报告了。明确的写出哪里存在漏洞，以及漏洞修补的方法。以便于网站管理员根据我们的渗透测试报告修补这些漏洞和风险，防止被黑客攻击。
我做的网站被漏洞检测说是有什么xss跨站脚本漏洞，怎么修复啊，哪位大侠帮看看！！
你这个页面我没看出来有xss啊，倒是有可能有sql注入漏洞。Title变量要过滤一下啊，要不用户可能会修改Title的内容，比如插入一个单引号，后面跟上自己的sql语句，这样会导致查到一些不该看到的数据库内容，引发注入漏洞。所以，要过滤一些用户提交的数据，把特殊字符全滤掉，百度一些啊asp防注入，有源码的。
xss，假设我是攻击者，我把提交数据的一个变量修改为‘aaaaaaaaaaaa’（post或则get提交的都可以，因为你是request接收的），然后看页面中回显‘aaaaaaaaaaaa’的位置。如果出现了，我可以尝试修改一下加入“”等，破坏掉你的html结构，如果可以破坏，那么我就可以插入javascript代码“script src=.../script”。盗取用户的cookies（所以cookies最好只用httponly），结合beef甚至操作用户的浏览器（权限和功能很低的，别想多了）。
综上所述，你写源码时，必须要检查所有用户可以修改和提交的数据（包括cookies等http头里面的），然后在输出点做好编码。输入与输出控制好了可以减免很多麻烦。
还可以使用安全宝、知道创于等公司提供的云waf服务，这样用户提交的数据会由他们检测，并且给你做好了cdn加速。注意的是，不要把你真实的ip暴露在网上。有的人只做的解析，没有做test.com的解析，导致真实ip暴露在网上。
或者使用一些开源的cms，asp的我不了解，php的我知道有wordpress，代码写的很不错了，只要你定期更新版本，不乱下载一些插件（插件都是别人提交的，编程水平不一定很好所以），一般不会出什么大的漏洞。插件也要定期更新。
防止旁站，找主机服务商时要注意（找大的和好的），亚马逊这样的，每个站的权限都是控制的很死的，所以很难提权。
至于社工，安全是一种意识，慢慢培养吧。我了解的就这些了，希望能对你有帮助。
kali linux beef怎么上钩
kali Linux系列教程之BeFF安装与集成Metasploit
apt-get install beef-xss
cd /usr/share/beef-xss
./beef
打开浏览器输入：
用户名和密码都是beef。输入完毕点击Login，登录
在浏览器打开默认测试页面。
在目标系统访问测试页面之后，在beef管理页面可以看到收集的信息，此时也可以发送一些攻击命令了。详细内容可以参考我的在线视频教程：Kali Linux Web 渗透测试视频教程—第16课 BeEF基本使用
钉钉如何领取学生号？
钉钉学生号领取教程：
1、登录家长钉钉，消息列表中点击【我的家庭】。
2、点击获取【学生号的账号和密码】。
3、退出家长钉钉，在钉钉登录界面输入学生账号和密码即可使用。
注意事项：生成学生账号需要两个条件：一个是家长需完成实名认证;需有家校组织，学生需加入了学校组织。另一个是学生账号只能添加学生为好友、只能加入学生账号的群、不能加入除家庭外的其他组织等。
钉钉（DingTalk）是阿里巴巴集团专为中国企业打造的免费沟通和协同的多端平台，提供PC版，Web版，Mac版和手机版，支持手机和电脑间文件互传。钉钉因中国企业而生，帮助中国企业通过系统化的解决方案（微应用），全方位提升中国企业沟通和协同效率。