9、跨站脚本攻击（XSS）：原理、方法与防范

跨站脚本攻击（XSS）：原理、方法与防范

1. XSS 基础理论

XSS 是一种攻击技术，它迫使网站显示恶意代码，这些代码会在用户的 Web 浏览器中执行。XSS 攻击可分为持久型和非持久型。持久型 XSS 攻击中，恶意代码会被存储在服务器端，每次用户访问相关页面时都会执行；非持久型 XSS 攻击则是通过诱导用户点击包含恶意代码的链接来触发。

DOM - 基于的 XSS 问题通常在客户端逻辑未对输入进行清理时出现，此时漏洞存在于客户端而非服务器。例如，当客户端使用未经过滤的用户输入来动态生成页面内容时，就可能引发 DOM - 基于的 XSS 攻击。

攻击类型	特点
持久型 XSS	恶意代码存储在服务器，每次访问页面时执行
非持久型 XSS	通过诱导用户点击链接触发
DOM - 基于的 XSS	客户端逻辑未清理输入导致漏洞

2. 其他相关攻击及风险

• 重定向攻击 ：攻击者利用社会工程学，通过网站重定向欺骗用户，让用户以为访问的是可信资源，实际上被重定向到攻击者控制的服务器。重定向服务还可以绕过黑名单和垃圾邮件数据库。
• C