XSS跨站脚本攻击

为何叫XSS？

跨站脚本（cross site script）为了不和样式css混淆，故简称xss。

XSS是什么？

xss是一种常常出如今web应用中的计算机安全漏洞，也是最主流的攻击方式。

 xss是指恶意攻击者利用网站没有对用户提交的数据进行转义处理或过滤不足的缺点，进而添加一些代码，嵌入到web页面中去；使别的用户访问都会执行相应的嵌入代码，从而盗取用户资料、利用用户身份进行某些动做或者对访问者进行病毒侵害的一种攻击方式。

xss攻击的危害有哪些？

1.盗取各种用户帐号；如：机器登陆帐号、用户网银帐号、各种管理员帐号...

2.控制企业数据；包括读取、篡改、添加、删除企业敏感数据能力

3.盗窃企业具备商业价值的重要资料

4.非法转帐

5.强制发送电子邮件

6.网站挂马

7.控制受害者机器向其余网站发起攻击

为何会出现xss攻击？

主要缘由是：过于信任客户端提交的数据

xss根源就是没彻底过滤客户端提交的数据

细节分析：客户端提交的数据本就是应用须要的，可是恶意攻击者利用网站对客户端提交的数据的信任，在数据中插入一些符号以及js代码，那这些数据将会成为应用代码中的一部分，进而攻击者就能够进行攻击。

怎么避免出现xss攻击？

不要信任任何客户端提交的数据；只要是客户端提交的数据信息都应该先作过滤处理再进行下一步操做。

xss攻击分类（稍微了解便可）

1.反射型xss攻击

2.存贮型xss攻击

3.DOMBasedXSS（基于dom的跨站点脚本攻击）

 

本文只对xss攻击作简单的介绍，具体细节可参考这位大神的博文：http://www.javashuo.com/article/p-exdpvymp-h.html