跨站脚本攻击XSS

漏洞产生原因：

XSS攻击本质上是一种注入攻击，产生原因是Web应用对外部输入参数处理不当，攻击者将恶意代码注入当前Web界面，在用户访问时执行

漏洞攻击手段：

反射型（非持久型）XSS-将payload包含在URL参数中，每次攻击都需要用户点击这个URL
存储型（持久型）XSS-将payload存储在服务端，受害者每次访问，服务端都会在响应页面中嵌入之前存储的恶意代码，并在客户端执行
这两种都与服务端应用的处理逻辑有关系，是服务端返回的HTML源码中存在相应的弹窗代码，恶意Javascript代码在HTTP请求中被视为服务端应用的输入，并且嵌入返回的HTML页面。
基于DOM的XSS-正常应用中的Javascript程序可以接受外部的输入数据并且直接在客户端渲染和执行，处理不当导致将外部数据当作代码来执行。通常是客户端的Javascript脚本在修改和构造当前页面的DOM节点时触发恶意代码的执行。DOM型XSS漏洞出现在前端代码中，他是在Javascript代码执行时触发的，依赖真实的浏览器执行环境。所以在扫面DOM型XSS漏洞时要用到浏览器引擎，比如在扫描器中集成Webkit；然后在不同的输入节点（URL、window.name）构造payload，在Webkit中监测网页会不会执行这些payload。
Self-XSS攻击-利用社会工程学欺骗用户，让他们自己去复制恶意代码到浏览器中。防御手段-不允许粘贴Javascript伪协议的URL。

漏洞防御手段：

1、HttpOnly：配置HttpOnly属性，保护Cookie不被Javascript读取，防止会话劫持。
2、输入过滤：检查和过滤输入的