摘要：三攻擊分類反射型又稱為非持久性跨站點(diǎn)腳本攻擊，它是最常見的類型的。存儲型又稱為持久型跨站點(diǎn)腳本，它一般發(fā)生在攻擊向量一般指攻擊代碼存儲在網(wǎng)站數(shù)據(jù)庫，當(dāng)一個頁面被用戶打開的時候執(zhí)行。例如，當(dāng)錯誤，就會執(zhí)行事件利用跨站。

XSS（cross site script）是指惡意攻擊者利用網(wǎng)站沒有對用戶提交數(shù)據(jù)進(jìn)行轉(zhuǎn)義處理或者過濾不足的缺點(diǎn)，進(jìn)而添加一些代碼，嵌入到web頁面中去。使別的用戶訪問都會執(zhí)行相應(yīng)的嵌入代碼，從而盜取用戶資料、利用用戶身份進(jìn)行某種動作或者對訪問者進(jìn)行病毒侵害的一種攻擊方式。

XSS是一種經(jīng)常出現(xiàn)在web應(yīng)用中的計(jì)算機(jī)安全漏洞，也是web中最主流的攻擊方式。

主要原因：過于信任客戶端提交的數(shù)據(jù)，客戶端提交的數(shù)據(jù)本來就是應(yīng)用所需要的，但是惡意攻擊者利用網(wǎng)站對客戶端提交數(shù)據(jù)的信任，在數(shù)據(jù)中插入一些符號以及javascript代碼，那么這些數(shù)據(jù)將會成為應(yīng)用代碼中的一部分了。那么攻擊者就可以肆無忌憚地展開攻擊啦。

解決辦法：不信任任何客戶端提交的數(shù)據(jù)，只要是客戶端提交的數(shù)據(jù)就應(yīng)該先進(jìn)行相應(yīng)的過濾處理然后方可進(jìn)行下一步的操作。

又稱為非持久性跨站點(diǎn)腳本攻擊，它是最常見的類型的XSS。漏洞產(chǎn)生的原因是攻擊者注入的數(shù)據(jù)反映在響應(yīng)中。一個典型的非持久性XSS包含一個帶XSS攻擊向量的鏈接(即每次攻擊需要用戶的點(diǎn)擊)。

又稱為持久型跨站點(diǎn)腳本，它一般發(fā)生在XSS攻擊向量(一般指XSS攻擊代碼)存儲在網(wǎng)站數(shù)據(jù)庫，當(dāng)一個頁面被用戶打開的時候執(zhí)行。每當(dāng)用戶打開瀏覽器,腳本執(zhí)行。持久的XSS相比非持久性XSS攻擊危害性更大,因?yàn)槊慨?dāng)用戶打開頁面，查看內(nèi)容時腳本將自動執(zhí)行。

當(dāng)用戶能夠通過交互修改瀏覽器頁面中的DOM并顯示在瀏覽器上時，就有可能產(chǎn)生這種漏洞，從效果上來說它也是反射型XSS。通過修改頁面的DOM節(jié)點(diǎn)形成的XSS，稱之為DOMBasedXSS。

容易導(dǎo)致DOM型的XSS的輸入源包括：
Document.URL
Document.referrer
Document.cookie
Window.name
Location.[pathname|href|search|hash]
localStorage/globalStorage

繞過XSS-Filter，利用 <> 標(biāo)簽注入 HTML/JavaScript 代碼；

利用HTML標(biāo)簽的屬性值進(jìn)行XSS攻擊。例如：；（當(dāng)然并不是所有的Web瀏覽器都支持Javascript偽協(xié)議，所以此類 XSS 攻擊具有一定的局限性）

空格、回車和Tab。如果XSS Filter僅僅將敏感的輸入字符列入黑名單，比如javascript，用戶可以利用空格、回車和Tab鍵來繞過過濾，例如：；

利用事件來執(zhí)行跨站腳本。例如：，當(dāng)src錯誤，就會執(zhí)行onerror事件；

利用CSS跨站。例如：body {backgrund-image: url(“javascript:alert(‘xss’)”)}；

擾亂過濾規(guī)則。例如：；

利用字符編碼，通過這種技巧，不僅能讓XSS代碼繞過服務(wù)端的過濾，還能更好地隱藏Shellcode；（JS支持unicode、eacapes、十六進(jìn)制、十進(jìn)制等編碼形式）；

拆分跨站法，將XSS攻擊的代碼拆分開來，適用于應(yīng)用程序沒有過濾XSS關(guān)鍵字符（如<、>）卻對輸入字符長度有限制的情況下；

DOM型XSS主要是由客戶端的腳本通過DOM動態(tài)地輸出數(shù)據(jù)到頁面上，它不依賴于提交數(shù)據(jù)到服務(wù)器，而是從客戶端獲得DOM中的數(shù)據(jù)在本地執(zhí)行。

針對用戶提交的數(shù)據(jù)進(jìn)行有效的驗(yàn)證，只接受我們規(guī)定的長度或內(nèi)容的提交，過濾掉其他的輸入內(nèi)容。比如：

表單數(shù)據(jù)指定值的類型：年齡只能是 int 、name 只能是字母數(shù)字等。

過濾或移除特殊的 html 標(biāo)簽：