浅谈XSS漏洞攻击与防御跨网站脚本简称XSS(cross-sitescripting )，主要利用网站本身设计不当，运行用户提交的恶意js脚本，危害网站本身。 xss漏洞是web渗透测试中最常见、使用最灵活的漏洞。 恶意用户将代码注入网页，并允许其他用户在查看网页时受到影响。 此类攻击通常包括HTML和客户端脚本语言。
XSS分类XSS中，大致分为反射型、存储型、DOM型3种为主流
反射式xss只是将用户输入的数据“反射”到浏览器中，攻击需要用户配合单击。 也称为“非持续xss”。
存储型xss将用户输入的数据“保存在服务器端”。 也称为“永久xss”。 常见的公告栏等可以提交表示用户输入内容的功能点。
DOM型xss根据是否保存可以分为反射型，通过修改页面的DOM节点形成的xss的脆弱性。
注意:无论是反射型还是存储型，都需要与服务器端进行交互。 也就是说，将服务器发送的内容反馈到html源代码中，启动xss。 这意味着当你回到html源代码时，你会看到启动xss的代码。 另一方面，DOM型xss不与服务器端进行交互，而只与客户端的js进行交互。 这意味着，提交的恶意代码将放入js中执行并显示。 那么，这种格式的问题是html源代码中不存在触发xss的代码。 服务器返回的所有源代码都相同，但源代码中包含一个js，然后重新运行该js以生成xss代码，并可以在审阅元素中查看。
XSS危害XSS漏洞发生在客户端，其目的是让浏览器执行用户提交的恶意js代码，以达到某种目的。 从表面上看，xss漏洞的危害只存在于客户端，主要用于运行js以获取用户信息，如浏览器版本。 但是，由于xss漏洞可能出现的地方很多，所以使用的情况也不统一，以下列举xss漏洞可能带来的危害(xss漏洞危害包括但不限于以下内容)。
cookie劫持(窃取cookie )后台添加删除文章等操作) csrf欺骗用户点击，在js模拟浏览器中下单(类似于利用xmlhttprequest类) )
钓鱼，利用xss制作登录框，骗取用户账户密码。 Xss蠕虫(利用Xss漏洞进行扩散)修改web代码，利用网站重定向，利用Xss窃取cookie ) cookie可以表示用户身份，因此在窃取cookie后，可以伪造用户进行某种操作这种危害非常可怕。
cookie将cookie分为内存cookie和硬盘cookie进行介绍，内存cookie保存在浏览器的内存中，关闭浏览器后消失。 cookie由变量名和值组成，其属性包括标准cookie变量和用户定义的属性。
cookie格式： Set-Cookie:=[；=][； expiress=][； 域=] [； path=][； secure][； HTPOnly(http://www.Sina.com/
Set-cookie:http响应标头将cookie发送到客户端。 Name=value:每个cookie必须包含的内容。 Expires=date:EXpires确定了cookie的有效结束日期。 是可选的。 缺省情况下，cookie不存储在硬盘上，而是仅存储在浏览器内存中。 Domain=domain-name:确定internet域中的web服务器可以读取浏览器中存储的cookie，缺省为该web服务器的域名。 Path=path:定义了web服务器的哪些路径页面可以获取从服务器发送的cookie。 Secure:将cookie标记为变量，表示浏览器仅在https通信协议时将cookie发送到服务器。 Httponly:禁止读取javascript。 如果cookie的参数之一是httponly，则javascript无法获取此参数。 httponly可以防止xss会话劫持攻击。 防御XSS就是防御XSS，首先要知道XSS攻击的本质是不安全的
可以在HTML、CSS、JS或HTTP协议级别阻止HTML注入。 介绍几个常见的防御措施。
cookie各个参数详细内容：
用户名、邮箱等表单认证(前端/服务器辅助认证) )。
富文本使用白名单机构等
输入检查
html -编码器
js-Encoder
输出检查
如果在设置cookie时加入HttpOnly，js脚本将无法获取cookie
HTTP 头部：HttpOnly
定义允许的资源加载地址，包括图像/视频/JS脚本
HTTP 头部：CSP（Content Security Policy）
有效防止DOM XSS攻击