概述
- Cross-Site Scripting ,即跨站脚本,为避免与前端叠成样式表的缩写"CSS"冲突,故称XSS。
- 发生在目标网站的目标用户的浏览器层面上,当用户浏览器渲染整个HTML文档的过程中出现了不被预期的脚本指令并执行时,XSS就会发生。
分类
反射性XSS
- 发出请求时,XSS代码出现在URL中,作为输入提交到服务端,服务端解析后响应,内容含有XSS代码,最后由浏览器解析执行。
存储型XSS
- 存储型xss一般会出现在网站留言板,评论处,个人资料处等用户可以对网站写入数据的地方。
- 留言板XSS:用户提交一段含有XSS的留言存储到数据库,目标用户查看留言板时,数据库的留言内容被查询出来并显示,浏览器把XSS代码当作正常的代码执行,就触发了XSS攻击。
DOM型XSS
- 靠浏览器端的DOM解析,无需服务器解析参与。