跨站脚本（XSS, Cross Site ）攻击指的是，攻击者可以让某网站执行一段非法脚本。这种情况很常见，比如提交一个表单用于修改用户名，我们可以在文本框中输入一些特殊字符，比如 <, >, ‘, ” 等，检查一下用户名是否正确修改了。
假如有下面一个textbox
value1from是来自用户的输入，如果用户不是输入value1from,而是输入 “/>
嵌入的Java代码将会被执行
或者用户输入的是 “onfocus=”alert(document.cookie) 那么就会变成
事件被触发的时候嵌入的Java代码将会被执行，攻击的威力，取决于用户输入了什么样的脚本。
推荐几个视频，带你一步一步从入门到精通~
推荐1 认识XSS <<<< 立即查看
XSS是一种经常出现在Web应用中的计算机安全漏洞，它允许恶意Web用户将代码植入到提供给其它用户使用的页面中。比如这些代码包括HTML代码和客户端脚本。攻击者利用XSS漏洞旁路掉访问控制——例如同源策略(same origin policy)。这种类型的漏洞由于被骇客用来编写危害性更大的phishing攻击而变得广为人知。
对于跨站脚本攻击，黑客界共识是：跨站脚本攻击是新型的“缓冲区溢出攻击“，而Java是新型的“ShellCode”
推荐2 XSS介绍及原理、初阶到高阶 <<<< 立即查看
XSS的原理及存储型XSS、反射型XSS、DOM型XSS的实战详解以及XSS辅助工具的学习；第二章主要学习多种XSS不同场景下不同的方法及Bypass技巧详解；第三章属于补充章节，主要讲一些XSS相关有趣的技术，如：Electron跨平台XSS执行系统命令、变种XSS：持久控制、以及MVVM模式下的XSS场景等，该章节不定期更新，有好玩的技术则会补充。
推荐3 Django debug page XSS漏洞（CVE-2017-12794） <<<< 立即查看
Django发布了新版本1.11.5，修复了500页面中可能存在的一个XSS漏洞，在其1.11.4版本中，我们重点关注的就是django/views/debug.py。此文件存在XSS漏洞，恶意访问者可利用其漏洞获取敏感信息，甚至可以威胁到服务器安全。
推荐4 Roundcube邮件正文存储型XSS(CVE-2017-6820) <<<<< 立即查看
邮箱存储型XSS漏洞像是一个定时炸弹，随时可能引爆整个网络世界。每个人都会惴惴不安，惶惶不可终日。网络的危险性随着光纤的传播，将会蔓延到世界的每个角落。
更多内容传送门<<<<<返回搜狐，查看更多
责任编辑：
