XSS漏洞

XSS漏洞介绍：

跨站脚本攻击（Cross Site Scripting） 缩写为CSS，为避免与前端层叠样式表（Cascading Style Sheets）的缩写CSS冲突，故又称XSS。

XSS漏洞一直被评估为web漏洞中危害较大的漏洞，在OWASP TOP10的排名中一直属于前三的地位。

跨站脚本攻击是指恶意攻击者往Web页面里插入恶意Script代码，当用户浏览该页之时，嵌入Web里面的Script代码会被执行，从而达到恶意攻击用户的目的。因为它是一种发生在前端浏览器的漏洞，所以其危害的对象也是前端用户。

攻击者可以使用户在浏览器中执行其预定义的恶意脚本，其导致的危害可想而知，如劫持用户会话，插入恶意内容、重定向用户、使用恶意软件劫持用户浏览器、繁殖XSS蠕虫，甚至破坏网站、修改路由器配置信息等。

XSS漏洞原理

攻击者在有漏洞的前端页面嵌入恶意代码，导致受害者访问页面时不知情的情况下触发恶意代码，获取受害者关键信息。
形成XSS漏洞的原因本质上还是对输入输出的过滤限制不严格，导致精心构造的脚本输入后，在前端被当做有效代码并执行。

XSS分类

反射型XSS：
<非持久化> 用户点击攻击链接，服务器解析后响应，在返回的响应内容中出现攻击者的XSS代码，被浏览器执行。一来一去，XSS攻击脚本被web服务器反射回来给浏览器执行，所以称为反射型XSS。特点：
1）XSS攻击代码非持久性，也就是没有保存在网站中，而是出现在