本文介绍了XSS跨站脚本攻击的概念、原理和三种类型：反射型、存储型和DOM型XSS。XSS被OWASP列为十大应用安全漏洞之一，主要危害包括盗取用户信息、控制网站数据等。攻击流程包括输入判断、测试、绕过防御和渗透。防御措施包括输入输出过滤、设置黑白名单、编码实体化等。作为网络世界的维护者，了解并防范XSS至关重要。
one、概念
XSS跨站脚本攻击(Cross-Site Scripting)就是网站将用户输入的内容输出到页面上，在这个过程中可能有恶意代码被浏览器执行，XSS属于被动式的攻击，因为其被动且不好利用，所以许多人常呼略其危害性。
XSS通常情况可以有两种解释就是它可以是一种攻击方式，或者是一种漏洞。
XSS其实叫CSS，但是由于和另一种网页技术——层叠样式表(Cascading Style Sheets)的缩写一样，为了防止混淆，所以把原本的CSS简称为XSS。
这一漏洞攻击在各种WEB应用安全漏洞中，一直被OWASP(Open Web Application Security Project)组织评为十大应用安全中的其中之一。
XSS一般攻击的是前端（比如盗取其他用户cookie），而不是后端，所以XSS一般需要结合其他漏洞进行挂马。（个人理解）
two、原理
XSS的原理是由于Web应用程序对用户输入过滤不足，这时候攻击者就可以通过这些不足在网页上面注入一些比如盗取cookie，转账等等的JavaScript脚本恶意代码，当用户浏览这些网页时就会执行其中的恶意代码，从而就完成一个的完整的XSS攻击流程。
跨站脚本，就是用户稀里糊涂地执行了攻击者放在网页上的恶意脚本，归根结底就是服务端过于信任客户端提交的数据。
在这里由于XSS有分类，所以对XSS原理的解释
最低0.47元/天 解锁文章
扫一扫
9696
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
