首先，我們都知道網上很多**都可以「記住你的使用者名稱和密碼」或是「自動登入」，其實是在你的本地設定了乙個cookie，這種方式可以讓你免去每次都輸入使用者名稱和口令的痛苦，但是也帶來很大的問題。試想，如果某使用者在「自動登入」的狀態下，如果你 執行了乙個程式，這個程式訪問「自動登入」這個**上一些鏈結、提交一些表單，那麼，也就意味著這些程式不需要輸入使用者名稱和口令的手動互動就可以和伺服器 上的程式通話。這就是xss攻擊的最基本思路。
再說一點，不一定是「記住你的使用者名稱和密碼」或是「自動登入」的方法，因為http是無狀態 的協 議，所以，幾乎所有的**都會在你的瀏覽器上設定cookie來記錄狀態，以便在其多個網頁中檢查你的登入狀態。而現在的瀏覽器的執行方式是多頁面或多窗 口執行，也就是說，你在同乙個父程序下開的多個頁面或視窗裡都可以無償使用你登入狀態的。
當然，你不必過於擔心訪問別的**，在別的**裡的js**會訪問你的微博或是網銀的登入頁面。因為瀏覽器的安全性讓js只能訪問自己所在**的資源。當然，這是瀏覽器做的檢查，所以，瀏覽器並不一定會做這個檢查，這就是為什麼ie6是史上最不安全的瀏覽器，沒有之一。只要你不在用ie6，應該沒有這些問題。
xss攻擊有兩種方法，
**:
注意，上面url鏈結中的其實就是
**:
< script src="">
攻擊者並不一定是2kt.cn的人，因為.cn被國家嚴格管制，所以，我個人覺得這個人不會愚蠢到用自己網域名稱來做攻擊伺服器。
其它
新浪微博的XSS攻擊
事件的經過線索如下 首先，我們都知道網上很多 都可以 記住你的使用者名稱和密碼 或是 自動登入 其實是在你的本地設定了乙個cookie，這種方式可以讓你免去每次都輸入使用者名稱和口令的痛苦，但是也帶來很大的問題。試想，如果某使用者在 自動登入 的狀態下，如果你執行了乙個程式，這個程式訪問 自動登入 ...
原創 騰訊微博的XSS攻擊漏洞
xss攻擊分成兩類 另一類則是來自外部的攻擊，主要指的自己構造xss跨站漏洞網頁或者尋找非目標機以外的有跨站漏洞的網頁。如當我們要滲透乙個站點，我們自己構造乙個有跨站漏洞的網頁，然後構造跨站語句，通過結合其它技術，如社會工程學等，欺騙目標伺服器的管理員開啟。也就是將那url改為這樣的url資料 未編...
新浪微博授權
一.建立應用 2.進入我的應用 3.建立應用 二.oauth的授權流程 你所開發的應用需要的流程如下 2.得到request token後重定向使用者到服務商的授權頁面 3.如果使用者選擇授權你的應用，用request token向服務商請求換取access token 4.得到access tok...