XSS漏洞的原理及分类

XSS基本概念和原理

XSS（cross site scripting）：跨站脚本攻击，攻击者在网页中嵌入客户端脚本，当用户使用浏览器被嵌入恶意代码的网页时，恶意脚本代码就会在用户的浏览器执行，造成跨站脚本攻击。

XSS是一种发生在Web前端的漏洞，所以其危害的对象主要是前端用户，XSS漏洞可以用来进行钓鱼攻击、前端js挖矿、用户cookie获取，甚至可以结合浏览器自身的漏洞对用户主机进行远程控制等。

XSS漏洞的分类

反射型XSS：是非持久型，参数型的跨站脚本，恶意代码并没有保存在目标网站，通过引诱用户点击一个链接到目标网站的恶意链接来实施攻击的，多出现在搜索框或者输入框。

存储型XSS：恶意代码被保存到目标网站的服务器中，这种攻击具有较强的稳定性和持久型，多出现在黑客写下一篇包含有恶意代码JS代码的博客文章，文章发表后，所有访问该博客的文章，都会在他们的浏览器中执行这段js代码。

DOM型XSS