网站安全之XSS攻击

最近在整改项目的安全业务，扫描出好多相关的问题，开个文章说下安全攻击方式以及安全整改手段。

XSS攻击即跨站点脚本攻击(Cross Site Script),就是说黑客可以通过篡改网页，注入恶意HTML脚本，在用户浏览网页是，控制用户浏览器进行恶意操作的一种攻击方式。

常见的XSS攻击方式有两种，一种是反射型，攻击者诱使用户点击一个嵌入恶意脚本的链接，达到攻击的目的。第二种是持久型XSS攻击，黑客提交含有恶意脚本的请求，保存在被攻击的web站点的数据库中，用户浏览网页是，恶意脚本被包含在正常的页面中达到攻击的目的。

XSS攻击者一般都是通过在网页上输入一些用户不常使用的字符，但是html容易转义的，如‘>’转义为‘&gt;’,'<'转义成‘&lt;'使用这些html理解但是用户不常使用的字符拼装成一段恶意代码，从而达到攻击目的，具体不做展示。

防护手段，既然是通过这种转义字符拼接的，那我们在对用户输入的文字中进行匹配检测对这种特殊的转义字符匹配过滤。