最近對XSS(cross site scripting)才有一些進一步的了解，以前想說不過就是alert一下可以執行javascript而已，是能做什麼事情，奇怪的連結只要不登入，不下載檔案就不會有事情，一開始時是這樣想的，後來遇到了實際案例，和前輩討論了如何才能證明Javascript可以做的事情超乎我的想像。
我的案例
先是收到朋友的messager訊息，第一個反應是想要點點看，但是馬上有有別點的訊息，所以我忍住了，把連結送virtus total檢測
竟然是正常的，不過想到事情和駭客絕對不會這麼簡單，看了一下url是facebook.com開頭的，所以問題一定不是在fb，而是後面的參數，把後面的參數urldecode之後
果然是有危險的連結，但是想說html是能做什麼？連收集資料都不行吧，後來經由大神介紹了牛肉BeFF-XSS才知道，事情不是我想得那麼簡單，只要點連結就會被控制，這裡把安裝方式記錄下來，應該是比介紹文還要新且正確，因為安裝也不簡單。
首先到
https://tools.kali.org/exploitation-tools/beef-xss
切換到/usr/share/下載資料
git clone https://gitlab.com/kalilinux/packages/beef-xss.git
cd beef-xss
./install
./update-beef
如果看到上面這個錯誤，我在mac and windows同樣版本的kali linux 有不同的狀況
sudo apt-get install libcurl4-gnutls-dev
sudo apt-get install libsqlite3-dev
找不到javascript runtime 和nodejs是什麼關係？我是不知道，不過真的解決了
https://stackoverflow.com/questions/7092107/rails-could-not-find-a-javascript-runtime
sudo apt-get install nodejs
關於geoipdb update會失敗且找不到是因為在2019年開始就不給無登入下載了，所以要去https://www.maxmind.com/en/home 註冊登入下載到beef要讀取的地方
不給用預設的帳密啟動
nano config.yaml 改一下
登入畫面如上
若是要開啟進階功能，就要打開msfconsole 和beef設定，我是參考
https://www.itread01.com/content/1550571493.html 這篇，但是一直連結失敗，找半天才找到失敗的原因https://github.com/beefproject/beef/issues/1322
有先開啟msfconsole的情況，測試方式就多了300多個
新增一個頁面放hook.js，去騙別人點開就可以當駭客攻擊人了
留言