另一方面，XSS跨站点脚本攻击跨站点脚本攻击的英文全称是Cross Site Script，本来缩写是CSS，但为了与层叠样式表CSS区分开来，在安全领域将其称为“XSS” XSS攻击通常是指黑客通过“HTML注入”篡改网页并插入恶意脚本，从而在用户浏览网页时控制用户浏览器的攻击。 最初，这种攻击的演示案例超越了域，因此被称为“s交叉站点脚本”。 但是直到今天，由于javascript的强大功能和网站前端APP应用的复杂性，是否跨域已经变得无关紧要，但由于历史原因，XSS这个名字一直存在。实施XSS攻击需要具备两个条件：1，需要在网页上注入恶意html代码； 2、这些恶意代码可以在浏览器中正常运行。 二. XSS的分类XSS根据效果可分为以下几类： 1 .反射XSS :向用户发送页面或链接，让用户点击攻击。 也被称为“非持续型XSS”。 2 .存储型XSS )如果将攻击置于服务端，则可能会发出呼叫(例如，在博客系统中，访问该页面的所有人都可能受到攻击)，从而变得更加主动。 一种常见情况是，黑客创建以下包含恶意JavaScript代码的博客文章，并在文章发表后，访问该博客文章的所有用户都在浏览器中运行恶意JavaScript代码。 这种XSS攻击称为“存储XSS”，因为黑客将恶意脚本存储在服务器端。 也被称为“持续型XSS”，因为有效的存在时间很长。 3.dom类型：本质上是反射式的，但通过用户点击，修改原始DOM元素的属性，攻击动作反射型和dom型区别：反射式构建攻击动作，等待该页面打开； dom类型也在等待单击，但使用用户操作而不是页面注释原始操作，然后添加自己修改的操作。 三、XSS的作用是什么？ XSS攻击成功后，攻击者可以在当前用户浏览的页面中嵌入恶意脚本，恶意脚本可以控制用户的浏览器。 用于实现这些具体功能的恶意脚本称为“XSS Payload”，实际上是恶意攻击的JavaScript脚本，所有JavaScript脚本都可以实现的功能是XSS Payload 最常见的XSS Payload之一是通过读取浏览器中的Cookie对象来发起“劫持Cookie”攻击。 Cookie以加密形式存储当前用户的登录证书。 cookie丢失通常会导致用户的登录证书丢失。 这意味着攻击者可以直接登录用户的帐户，而无需通过密码。总结XSS作用：1 .可以获得cookie2. get，模仿开机自检请求某种动作3 .获得用户的IP4.用户软件，识别浏览器5 .钓鱼用户的用户名和密码XSS防御1 .如果您的cookie是关键cookie，您可以在该cookie上添加hookie，以响应剪切饼干之类的操作。 一个饼干的使用过程如下。 step1:浏览器向服务器发出请求，此时没有Cookie step2。 服务器返回时发送Set-Cookie标头，并将Cookie step3写入客户端浏览器。 在此Cookie过期之前，浏览器会访问此域下的所有页面并发送此Cookie。 2 .输入检查。 通常，您可以选择对输入进行编码或筛选这些字符，如、和。 3 .绝对没有办法防止XSS攻击。 XSS是灵活的，因此任何语言和框架设计错误都可能存在漏洞。