xss攻击

什么是XSS?

XSS又叫CSS (Cross Site Script) ，跨站脚本攻击。它是指应用程序对输入输出的过滤不够严格，导致攻击者构造的恶意HTML代码被浏览器当作正常代码解析执行，从而达到恶意用户的特殊目的。

常见的三种XSS攻击类型

1.反射型XSS

一般来说这种类型的XSS，需要攻击者提前构造一个恶意链接，来诱使客户点击，比如这样的一段链接：www.abc.com/?params=。

2.存储型XSS

这种类型的XSS，危害比前一种大得多。比如一个攻击者在论坛的楼层中包含了一段JavaScript代码，并且服务器没有正确进行过滤输出，那就会造成浏览这个页面的用户执行这段JavaScript代码。

3.DOM型XSS

这种类型则是利用非法输入来闭合对应的html标签。
比如，有这样的一个a标签：
乍看问题不大，可是当$var的内容变为 ’ οnclick=’alert(/xss/) //，这段代码就会被执行。

jaVasCript:/-//*\/’/"/**/(/* */oNcliCk=alert() )//%0D%0A%0d%0a//</stYle/</titLe/</teXtarEa/</scRipt/–!>\x3csVg/<sVg/oNloAd=alert()//>\x3e