浅谈跨站脚本攻击XSS

1. 概念

跨站脚本攻击（Cross-site scripting, 通常简称为XSS）,是一种网站应用程序的安全漏洞攻击。

2. 攻击类型

XSS属于代码注入的一种，是通过在客户端写入javaScript, flash代码，盗取网站Cookie, 或者使网站无法正常浏览。

3. 攻击手段

利用XSS盗取Cookie, 再通过Cookie，伪装成用户，向服务端发送数据，进而盗取用户的信息。
目的：

1. 恶作剧

    <script>
      alert('this is a joke')
    </script>
   

2. 通过iframe的形式，伪装成用户盗取用户信息

    <script>
      <iframe src="http://www.baidu.com">
    </script>
   

3. 植入flash，盗取用户信息

4. 预防措施

1. 在文本框，文本域等表单元素的内容，作特殊处理，过滤掉特殊字符，常用的是使用富文本组件。
2. 使用Http头指定类型,限制其Content-type为text/html