XSS跨站脚本攻击

XSS跨站脚本攻击

---

什么是XXS？

• XSS全称跨站脚本（Cross Site Scripting）,为了不和CSS混淆，故称为XSS.
• XSS攻击是一种注册型攻击，攻击者在可信的网页嵌入恶意代码，用户访问可信网站除法XSS而被攻击。

XSS的攻击方式

• 反射型：发出请求时，XSS代码出现在URL中，作为输入提交到服务器端，服务器端解析后响应，XSS随响应内容一起返回给浏览器，最后浏览器解析执行XSS代码，这个过程就像一次发射，所以叫反射型XSS。
• 存储型: 存储型XSS和反射型的XSS差别就在于，存储型的XSS提交的代码会存储在服务器端（数据库，内存，文件系统等），下次请求目标页面时不用再提交XSS代码。

XSS会造成那些危害？

攻击者通过Web应用程序发送恶意代码，一般以浏览器脚本的形式发送给不同的终端用户。当一个Web程序的用户输入点没有进行校验和编码，将很容易的导致XSS。

• 网络钓鱼，包括获取各类用户账号；
• 窃取用户cookies资料，从而获取用户隐私信息，或利用用户身份进一步对网>* 站执行操作；
• 劫持用户（浏览器）会话，从而执行任意操作，例如非法转账、强制发表日