一、XSS 跨站脚本攻击
XSS 跨站脚本攻击，是代码注入的一种，它允许恶意用户将代码注入网页，其他用户在浏览网页时就会受到影响。漏洞的问题本质上都在于输入输出的控制。
- SQL注入是将用户输入的数据当做了SQL语句放入了数据库执行。
- XSS是将用户输入的数据当做了HTML语句放到了页面上执行。
XSS跨站脚本攻击与SQL注入的两个关键条件：
- 用户能够控制输入；
- 原本程序要执行的代码拼接了用户输入的数据。
二、常用的XSS攻击手段和目的
1.盗用cookie获取敏感信息。
2.利用植入Flash，通过crossdomain权限设置进一步获取更高权限；或者利用Java等得到类似的操作。
3.利用iframe、frame、XMLHttpRequest或上述Flash等方式，以（被攻击）用户的身份执行一些管理动作，或执行一些一般的如发微博、加好友、发私信等操作。
4.利用可被攻击的域受到其他域信任的特点，以受信任来源的身份请求一些平时不允许的操作，如进行不当的投票活动。
在访问量极大的一些页面上的XSS可以攻击一些小型网站，实现DDoS攻击的效果。
三、XSS的种类（安全界的分法）
反射型XSS
提交的数据成功的实现了XSS，但是仅仅是对本次访问产生影响，并非持久型攻击；
存储型XSS
提交的数据成功的实现了XSS，存入了数据库/文件，他人访问这个页面时会自动触发。
四、针对XSS攻击的防御
1.对所有用户提交内容进行可靠的输入验证。
2.实现session标记，cookie 防盗。
3.确认接收到的内容被妥善地规范化。
五、拓展
什么是cookie？
cookie是指某些网站为了辨别用户身份，进行session跟踪而存储在用户本地终端上的数据。
客户端将用户名密码等信息给服务器，服务器返回用户身份对应的cookie给客户端之后两人的身份认定，就靠cookie来进行
简单地说，当用户使用浏览器访问一个支持Cookie的网站的时候，用户会提供包括用户名在内的个人信息并且提交至服务器，服务器回传给用户这段个人信息的加密版本，这些信息并不存在HTTP响应体中，而存放于HTTP响应头中。
密码字典生成器工具
超级ping、多地点ping
Google镜像站-谷歌语法
warning ：未经授权，不得转载
声明：本文旨在为学习网络信息安全的同学提供指引帮助，维护网络空间的安全
有问题的小伙伴请在下方留言，喜欢就点个赞吧；关注我，带你一起写bug
知乎：叄贰壹
简书：带只拖鞋去流浪