【XSS之Session安全（一）】

【首先是啰嗦】

XSS对Session的利用主要有两种：Session劫持和CSRF，先谈前者。

关于通过XSS劫持Session的原理和实验可以参考一下几篇文章：

http://www.2cto.com/Article/201411/355266.html  

http://www.cnblogs.com/dolphinX/p/3403027.html

原理很简单，攻击实验也很好实现，但依然防不胜防

Session虽然存储在Server端，但是在Client必须有某种标识（以下称SessionID）来与Server端的Session相对应。通常SessionID在Client的存在方式有

3种：cookie、Url后缀、Html隐藏节点。

SessionID的作用主要有2个：跟踪和记录用户行为、免身份认证

XSS脚本可以获取SessionID，然后利用该SessionID登录用户账户，进而做一些不好的事情（看照片、删东西、发广告....）

【然后是BB】

这里提出一种基于请求计数器和Session有效期的解决方案。由于调研不是很充分，不能保证该方案为首次提出。