Fortify漏洞之Cross-Site Scripting（XSS 跨站脚本攻击）

　　书接上文，继续对Fortify漏洞进行总结，本篇主要针对XSS跨站脚步攻击漏洞进行总结，如下：

1、Cross-Site Scripting（XSS 跨站脚本攻击）

1.1、产生原因：

1. 数据通过一个不可信赖的数据源进入 Web 应用程序。对于 Reflected XSS（反射型），不可信赖的源通常为 Web 请求，只影响攻击到当前操作用户；而对于 Persisted（也称为 Stored 持久型）XSS，该源通常为数据库或其他后端数据存储，可能影响多操作用户。

2. 未检验包含在动态内容中的数据，便将其传送给了 Web 用户。 

图1.1.1  XSS漏洞分类 

 　　传送到 Web 浏览器的恶意内容通常采用 JavaScript 代码片段的形式，但也可能会包含一些 HTML、Flash 或者其他任意一种可以被浏览器执行的代码。基于 XSS 的攻击手段花样百出，几乎是无穷无尽的，但通常它们都会包含传输给攻击者的私人数据（如 Cookie 或者其他会话信息）。在攻击者的控制下，指引受害者进入恶意的网络内容；或者