XSS漏洞分类

XSS分类

XSS根据类型和利用手法的不同，主要分为三大类：

• 反射型XSS
• 存储型XSS
• DOM型XSS

反射型XSS

反射型XSS又称为非持久型XSS，是现在最容易出现的一种XSS漏洞。用户在请求某条URL地址的时候，会携带一部分数据。当客户端进行访问某条链接时，攻击者可以将恶意代码植入到URL，如果服务端未对URL携带的参数做判断或者过滤处理，直接返回响应页面，那么XSS攻击代码就会一起被传输到用户的浏览器，从而触发反射型XSS。
比如，当用户进行搜索时，返口结果通常会包括用户原始的搜索内容，如果攻击者精心构造包含XSS恶意代码的链接，诱导用户点击并成功执行后，用户的信息就可以被窃取，甚至可以模拟用户进行一些操作。
特点：

• 非持久性
• 参数型脚本
• 反射型XSS的JS代码在Web应用的参数中，好比搜索框等地方
  数据流的走向：
  浏览器->后端->浏览器

反射XSS案例

初级：