超级会员免费看
XSS攻击是通过在网页中插入恶意脚本，利用用户浏览器执行攻击代码来实现的。它能盗取cookie、破坏页面结构、执行恶意操作。XSS分为反射型、存储型和DOM型，危害包括数据泄露、身份冒用等。防御策略包括输入检查、输出转义、HTTP-only Cookie和Content-Security-Policy设置。
1. 什么是XSS攻击
跨站脚本攻击（Cross Site Scripting）本来的缩写为CSS，为了与层叠样式表（Cascading Style Sheets，CSS）的缩写进行区分，将跨站脚本攻击缩写为XSS。因此XSS是跨站脚本的意思。
XSS跨站脚本攻击（Cross Site Scripting），的本质是攻击者在web页面插入恶意的script代码（这个代码可以是JS脚本、CSS样式或者其他意料之外的代码），当用户浏览该页面之时，嵌入其中的script代码会被执行，从而达到恶意攻击用户的目的。比如读取cookie，session，tokens，或者网站其他敏感的网站信息，对用户进行钓鱼欺诈等。比较经典的事故有：
2011年6月28日，新浪微博被XSS攻击，大量用户自动转发微博、私信。自动关注用户，大量用户被莫名其妙地控制。因为可以使用JS代码代替用户单击按钮发送请求，所以损坏非常大。
1.1 XSS攻击的危害
-
通过 document.cookie 盗取 cooki
订阅专栏 解锁全文
扫一扫
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
