哎呀！XSSTest平台无预警下线，我的安全测试该怎么办啊？！
说好的XSSTest平台无预警，这不是坑人嘛！
兄弟姐妹们，你们知道吗？ 我昨天正准备用XSSTest平台跑一波XSS漏洞测试，结果打开浏览器一看，哎哟喂，页面直接给我来个404！我当时那个心情啊，简直比吃了苍蝇还难受！不是说好要做彼此的天使吗？怎么说没就没了呢？
说实话,XSSTest平台无预警下线这件事，真的让我有点措手不及，我手头还有好几个项目等着测试呢，这下可好，工具没了，活儿还得照干，这不是逼着我这个老腊肉重新找路子嘛！不过话说回来，做我们这行的，哪有那么多顺风顺水的时候？工具没了就没了，大不了自己搭一个呗，反正咱也不是第一次干这种事了。
没有XSSTest平台，我拿什么来测XSS？
可能有些新手朋友要问了：“XSSTest平台无了，那以后XSS漏洞测试该怎么办啊？”嗯，这个问题问得好！让我来跟大家唠唠我的真实感受和应对方法。
首先，我这里不得不吐槽一下，XSSTest平台无了以后，确实少了一个特别便捷的测试入口，以前多方便啊，往里面甩个payload，咔嚓一下结果就出来了，现在呢？一切都得自己动手，丰衣足食。老话说得好：“靠山山倒，靠人人跑，靠自己最好！”既然平台没了，咱们就得学会用其他替代方案。
我做了一下功课,给大家推荐几个替代方案：
第一,用Burp Suite搭配XSS Validator插件，虽然上手稍微有点难度，但用惯了其实也很顺手；第二，直接用浏览器的开发者工具，自己手动构造payload来测试，说实话还更能锻炼人；第三，用开源工具比如BeEF，效果也相当不错。
真的想对某些同行说一句：别再纠结XSSTest平台无了这件事了，与其怨天尤人，不如赶紧学学其他工具怎么用，咱们这一行，最重要的能力不是依赖某个平台，而是自己的技术积累和解决问题的能力。
实测体验：没平台的日子，我反而学到了更多？
大家可能觉得我在说风凉话,但真的，这几天没有XSSTest平台的日子，反倒让我有了新的收获。
以前用XSSTest平台,说实话有点“傻瓜式”操作，输入URL，点击扫描，然后等结果，虽然快，但很多细节其实都被掩盖了，现在自己手动搭测试环境，反而对XSS的各种绕过技巧有了更深入的理解。
举个特殊情况,前天我碰到一个过滤了<script>标签的网站，如果是以前用XSSTest平台，可能就直接报“未发现漏洞”了，但手动测试的过程中，我尝试了各种编码绕过、事件属性利用，最后还真让我找到个用<img src=x onerror=alert(1)>的绕过方法！这种感觉，真的用平台测一百次都体会不到的成就感！
而且说实话，自己动手搭建测试环境，还能针对不同的业务场景做更细致的测试，比如电商网站的搜索框、论坛的评论区、个人中心的签名档，每个位置的过滤机制都不一样，这些都是通用的XSS平台很少能覆盖到的。
我的真心话和时间建议来了！
好啦,唠了这么多，也该说说真心话了。XSSTest平台无了之后，确实给许多人造成了不便，但这未必是件坏事。
我真的觉得，咱们搞网络安全这一行的，不能太依赖某个特定的工具或平台，今天这个平台下线了，明天那个工具更新了，万一哪天所有在线平台都关闭了，难道咱们就不干活了吗？所以啊，核心技术能力才是咱们的立身之本。
给各位还在迷茫的朋友几点建议：
- 多学习原理，别光会用工具，要知道XSS是为什么产生的，怎么去防御，这样才能更好地去测试；
- 多动手实践，自己搭几个靶场，比如DVWA、Pikachu这些，练多了自然就有感觉了；
- 多交流分享，一个人闷头研究容易撞墙，大家一起讨论，效率翻倍！
真心劝各位一句：别把时间浪费在抱怨XSSTest平台无了这件事上，赶紧行动起来，提升自己的技能才是王道！等你啥时候不用任何平台也能轻松发现XSS漏洞了，那时候你才算是真正的技术大牛！
对了,如果有志同道合的朋友想一起交流安全测试心得，欢迎加我QQ：123456789，咱们一起学习一起进步，毕竟网络安全这条路，一个人走确实挺孤单的！大家一起互相鼓励、互相支持，才能走得更远啊！加油吧，各位！
