XSS跨站脚本攻击是什么意思？为什么叫XSS？

• 发布时间：
  2023-03-31
• 版权所有：
  云和教育
• 分享：

XSS全拼为Cross Site Scripting，意为跨站脚本，其缩写原本为CSS，但这与HTML中的层叠样式表( Cascading Style Sheets)缩写重名了，为了区分就将跨站脚本改为了XSS。

XSS是Web应用系统最常见的安全漏洞之一，它主要源于Web应用程序对用户输入检查和过滤不足。攻击者可以利用XSS漏洞把恶意代码( HTM代码或JavaScript脚本)注入网站中，当有用户浏览该网站时，这些恶意代码就会被执行，从而达到攻击的目的。

 

 

通常，在XSS攻击中，攻击者会通过邮件或其他方式诱使用户点击包含恶意代码的链接，例如攻击者通过E-mail向用户发送一个包含恶意代码的网站home.com，用户点击链接后，浏览器会在用户毫不知情的情况下执行链接中包含的恶意代码，将用户与home.com交互的Cookie和Session等信息发送给攻击者，攻击者拿到这些数据之后，就会伪装成用户与真正的网站进行会话，从事非法活动，其过程如下图所示。

 

 

对于XSS漏洞，最核心的防御措施就是对用户的输人进行检查和过滤，包括URL、查询关键字、HTTP头、POST 数据等，仅接受指定长度范围、格式适当、符合预期的内容，对其他不符合预期的内容一律进行过滤。 除此之外，当向HTML标签或属性中插人不可信数据时，要对这些数据进行相应的编码处理。将重要的Cookie标记为http only，这样JavaScript脚本就不能访问这个Cookie，避免了攻击者利用JavaScript脚本获取Cookie。

• 上一篇 什么是渗透测试?渗透测试有什么特点？
• 下一篇 在Java中，什么时候用重载，什么时候用重写?