qq_41897073的博客

XSS又叫跨站脚本攻击（Cross Site Script，XSS），它指的是攻击者往WEB页面里插入恶意HTML代码，当用户浏览该页面时，嵌入WEB里面的HTML代码会执行，从而达到恶意的目的。CSRF（Cross-site request forgery）跨站请求伪造，也被称为“One Click Attack”或者“Session Riding，是一种对网站的恶意利用，与XSS不同的是，XSS利用站点内的信任用户，而CSRF则通过伪装成受信任用户的请求来利用受信任的网站。

web应用程序一般都要实现特定的业务功能，在实现功能时会发生漏洞。越权漏洞时WEB系统中一种常见的安全漏洞，即攻击者能够执行本来没有权利执行的操作。