XSS 简单介绍 XSS攻击也叫跨站脚本攻击(Cross Site Scripting)原本应当是CSS，但为了和层叠样式表（CSS，Cascading Style Sheet ）有所区分，通常将其缩写成XSS，它是一种经常出现在Web应用中的网络安全漏洞。 XSS某种意义上也是一种注入攻击，黑客通过前端网页向受害者浏览的网页中注入 js 脚本，从而实现攻击目的。与其它Web漏洞不同，XSS并非直接攻击服务器，而是攻击的受害者的浏览器。需要强调的是，XSS不仅仅限于JavaScript，还包括flash等其它脚本语言。其在网络中存在的数量，远远大于SQL注入等传统高危漏洞。 XSS的分类 XSS漏洞按照攻击利用手法的不同，有以下三种类型： 第一种，存储式漏洞 该漏洞是最为广泛而且有可能影响到Web服务器自身安全的漏洞。 第二种，反射式漏洞 比如说，小韦经常浏览小乔的网站，小乔的站点存有小乔自己使用的用户名/密码，并存储了敏感信息(比如银行帐户信息等)。晕晕发现小乔的站点包含反射性的XSS漏洞，于是利用漏洞的URL，并将其冒充小乔的管理身份发送邮件给小韦。只要小韦访问到小乔的站点，浏览器提供的URL中的恶意脚本会在小韦的浏览器中执行，以此盗窃数据信息（账号密码、个人信息、验证信息等），小韦的信息就会发送到晕晕的Web网站中。 第三种：本地利用漏洞，这种漏洞存在于页面中客户端脚本自身。 比如说，公司里的小韦给小乔发了一个恶意的web URL，小乔不疑有他、点开并查看了该URL，恶意页面中的JavaScript会执行打开一个具有漏洞的HTML页面并安装在小乔的电脑上。小韦加在web上的恶意脚本可以执行小乔所有具有操作权限的命令。 区别在于，DOM型漏洞直接威胁用户个体，而存储型和反射型所威胁的对象都是企业级Web应用。
