本文目录一览：
发现XSS漏洞的一般做法有哪些？
关于发现时间，要具体到是检测什么目标了。找google的，和找腾讯的时间肯定不会一样。 至于“你们一般都是如何发现xss漏洞的？” 不同类型的XSS漏洞，可能不尽相同。
1.对于反射型XSS以及一些DOM XSS，一般建议是开发一些自动化的扫描工具进行扫描，并辅以手工分析。 另外一方面，搜索引擎也是快速寻找具有缺陷参数的好办法。
2.对于存储型XSS，
1) 对于单纯的输入-存储-输出点 的情况 （输入与输出点关系：一个地方输入，会有多个地方输出；不同地方输入，同一地方输出。绕了点 T T ...）。常规测试是正向直接输入内容，然后在输出点查看是否未过滤，当然你也可以先大胆假设输出点未过滤，反向寻找在何处进行输入，进而测试。
2）对于富文本，则需要对过滤器进行fuzz测试（人脑+自动化）了，正好乌云drops上有乌乌发了一篇：fuzzing XSS filter
3）第三类，就是一些WEB应用中所出现的DOM-存储型XSS，即输出点的无害内容，会经过js的一些dom操作变得危险（本质上和 第1点里的dom xss成因是一样的）。这一类的挖掘方法，个人觉得不太好总结。 其一，需要熟悉WEB应用的功能，其二，知道功能所对应的JS代码有哪些，其三，凭直觉猜测程序员会在哪些功能出现可能导致XSS的过滤遗忘或过滤错误（直觉是唬人的，其实就是你知道某些功能会需要某些代码实现，而这些代码常常容易出错），其四，需要有较好的代码阅读跟踪能力（JS一大坨。。还是蛮难读的.... 有些代码被混淆过，十分不易阅读，就会涉及到如何下断点进行调试的小技巧）。 我想，挖掘这一类的前提可能是需要有不错的前端开发经验，写多了，才会有足够的嗅觉。
其实吧，有时候专门去找漏洞会很累的，大什么怡情，小什么伤身，因此，我们还不如开心的敲敲代码，听听歌，静待生命中那些意外的收获。 这些收获经常来自身边的人发给你的一些事物。
最后，不论如何，基础很重要吧，内力不足，招式再多也没用，反之，草木竹石皆可为剑。
xss怎么防止？
打开腾讯电脑管家——工具箱——修复漏洞，进行漏洞扫描和修复。建议设置开启自动修复漏洞功能，开启后，电脑管家可以在发现高危漏洞（仅包括高危漏洞，不包括其它漏洞）时，第一时间自动进行修复，无需用户参与，最大程度保证用户电脑安全。尤其适合老人、小孩或计算机初级水平用户使用。开启方式如下：进入电脑管家“修复漏洞”模块—“设置”，点击开启自动修复漏洞即可。
XSS跨站脚本漏洞怎样修复
尝试过滤参数，对用户输出进行转义或者过滤。一般/\^"'这些如果不需要都过滤一遍，其对应的转义也记得过滤一下，安全性就会提高吧。
我水平有限。这是我当前水平下可以做出的回答。
xss劫持的cookie是当前网站的吗，？
截取的是你的网站的
xss真正的原理是将代码插入到某个网页里面，当浏览器访问这个网页的时候，就会执行你写的代码。如果这个代码具有获取cookies的功能，即可获得当前页面的cookies
然而不同的网站cookies是不同的，也是不允许互相访问的。这就要求你必须把xss代码插入到当前页面里面，并且能成为目标页面中的一部分代码被浏览器执行，这样才能成功获取对方的cookies（这样子程序是在对方网站的页面里面执行的，当然截取的就是对方网站的cookies）。而不是写一个连接，让别人打开你的网页（这样子程序就是在你的页面里面执行的，当然没啥效果）
qq邮箱的xss越来越少了，要知道腾讯的技术人员不是白吃饭的。想要xss不一定非要对qq邮箱下手，如果能在别的分站里面找到xss不一样是照打不误么？qq的页面那么多何必困在qq邮箱里面呢~