本文由 整理總結而來
xss又稱css(cross site script)，譯為跨站指令碼攻擊，是web程式中常見的漏洞。
原理:
攻擊者向有xss漏洞的**輸入惡意**(耗時間)，當使用者瀏覽該**時（被動），此**自動執行，從而攻擊。
多用於盜取cookie、破壞頁面結構、重定向。
優點:
幾乎所有**都有
缺點:
1.耗時間
2.有一定的機率不成功
3.沒有軟體來實現自動化攻擊
4.屬於客戶端的攻擊方式
5.手法被動
6.對website有http-only、crossdomian.xml沒有用(無法獲取cookie)
攻擊點:
類似於sql注入攻擊，理論上:所有可輸入的地方，如果沒有對輸入資料進行處理，都存在xss漏洞。
反射型
又稱為非持久型，是最常見的xss,原理是攻擊者將注入的資料反映在響應中，因為這輸入-->反饋的過程，因此稱之為反射。最典型的就是乙個包含xss攻擊的鏈結。
例如: 就把cookie偷走了
dom based xss
從效果上來說也能稱之為反射型。但其觸發條件限制為: 使用者可以通過互動修改瀏覽器的dom
前提是頁面通過不安全的方式從document.location或document.url或document.referer獲取資料
注意:1.惡意程式指令碼在任何時候不會嵌入自然狀態下的html頁面
2.只有在瀏覽器沒有修改url字元時起作用，因為當url不是從位址列輸入，chrome、firefox等瀏覽器會自動轉換document.url中的字元(例如<、>)，一些老舊瀏覽器，例如ie6，則不會，因此很容易被攻擊。
持久型
解決方案:
過濾和編碼
1.將重要的cookie標記為http only，這樣document.cookie就不能獲取cookie
2.表單資料規定型別，例如年齡為int、name為字母數字組合
3.對資料進行編碼處理
4.移除特殊html標籤，例如script、iframe
5.過濾js事件
xss攻擊總結
顧名思義，非持久型xss攻擊是一次性的，僅對當次的頁面訪問產生影響。非持久型xss攻擊要求使用者訪問乙個被攻擊者篡改後的鏈結，使用者訪問該鏈結時，被植入的攻擊指令碼被使用者遊覽器執行，從而達到攻擊目的。持久型xss，會把攻擊者的資料儲存在伺服器端，攻擊行為將伴隨著攻擊資料一直存在。dom 不經過後端...
前端XSS攻擊
什麼是xss攻擊？xss原稱為css cross site scripting 即跨站指令碼攻擊，因為和層疊樣式表 cascading style sheets 重名，所以改稱為xss x一般有未知的含義，還有擴充套件的含義 xss攻擊可能造成的後果 獲取頁面資料 獲取cookie 劫持前端邏輯 傳...
前端xss攻擊
xss跨站指令碼攻擊 cross site scripting 是一種經常出現在web應用中的計算機安全漏洞，它指的是惡意攻擊者往web頁面裡插入惡意html 當使用者瀏覽該頁之時，嵌入的惡意html 會被執行，從而達到惡意使用者的特殊目的。xss屬於被動式的攻擊，因為其被動且不好利用，所以許多人常...