【转】简单的解释XSS攻击

XSS 跨站点脚本 cross site script

怎么形成攻击？

举例：有一个公共的页面，全部用户均可以访问且能够保存内容，输入的时候若输入<script>alert('I am hacker')</script>.因为这句脚本保存到数据中了，下次别人看到这个内容的时候，浏览器端就会弹出一句“I am Hacker”，同理，这个脚本能够发送用户的cookie到其余网站，这样就成功窃取了用户的隐秘信息。跨站脚本攻击指的是攻击浏览器端的用户信息。

两个防止攻击的办法：

一、在保存用户输入数据的时候，将输入内容编码。<script>就变成了&lt;script&gt;

这样作有一个很差，编码后的数据在非浏览器中显示的时候，会显示得不友好

二、在显示的时候，将内容编码。这样也不会执行脚本。

如C#编码的方法是Server.HtmlEncode("<script>alert('I am hacker')</script>")