Java代码审计之XSS漏洞详解

1、XSS漏洞简介

跨站脚本（Cross-Site Scripting），本应该缩写为CSS，但是该缩写已被层叠样式脚本Cascading Style Sheets所用，所以改简称为XSS。

XSS攻击通常指的是通过利用网页开发时留下的漏洞，通过巧妙的方法注入恶意指令代码到网页，使用户加载并执行攻击者恶意制造的网页程序。这些恶意网页程序通常是JavaScript，但实际上也可以包括Java、 VBScript、ActiveX、 Flash 或者甚至是普通的HTML。

本质是一种针对网站应用程序的安全漏洞攻击技术，是代码注入的一种 。

一般的攻击过程：

• 攻击者将恶意代码注入到服务器中（如论坛、留言板、邮件等）；
• 用户在没有防备的情况下访问了被注入了恶意代码的服务器；
• 服务器将含有恶意代码的网页响应给客户端；
• 在客户端浏览器中触发JS恶意代码。

微博、留言板、聊天室等等收集用户输入的地方，都可能被注入xss代码，都存在遭受xss的风险，只要没有对用户的输入进行严格过滤，就会被xss。当攻击者可以将恶意代码注入到服务器中，我们就认为其存在xss漏洞。

2、XSS漏洞危害

恶意用户利用xss代码攻击成功后，可能会得到很高的权限，XSS漏洞主要有以下危害：
（1）盗取各种用户账号；
（2）窃取用户Cookie资料，冒充用户身份进入网站；
（3）劫持用户会话，执行任意操作；是指操作用户浏览器；
（