xss跨站脚本攻击

概述：

主要指攻击者可以再页面中插入恶意脚本代码，当受害者访问这些页面时，浏览器会解析并执行这些恶意代码，从而达到窃取用户身份、钓鱼、传播恶意代码和控制用户浏览器等行为

产生原因：

由于web程序对用户的输入过滤不足、，导致用户输入的恶意HTML/Javascript 代码注入到网页中，混淆原有语义，产生新的恶意语句。在其他用户访问网页时，浏览器就会触发恶意的网页代码，从而达到XSS攻击的目的

分类：

反射型：恶意代码并没有保存在目标网站，通过引诱用户点击一个链接到目标网站的恶意链接来实施攻击
输入：

输入语句被写入了html，我点击submit就会弹出用户的cookie

存储型：也叫持久性XSS，当一个玉面（如留言板）有存储型时，插入的的恶意XSS代码会存储到数据库中 ，当访问此页面查看留言时，web程序会从数据库中取出恶意代码插入到页面，导致浏览器触发XSS

构造这样的payload