XSS攻击：跨站脚本攻击(Cross Site Scripting)，为不和层叠样式表(Cascading Style Sheets, CSS)的缩写混 淆。故将跨站脚本攻击缩写为XSS。XSS是一种经常出现在web应用中的计算机安全漏洞，它允许恶意web用户 将代码植入到提供给其它用户使用的页面中。比如这些代码包括HTML代码和客户端脚本。攻击者利用XSS漏洞 旁路掉访问控制——例如同源策略(same origin policy)。这种类型的漏洞由于被骇客用来编写危害性更大的 phishing攻击而变得广为人知。对于跨站脚本攻击，黑客界共识是：跨站脚本攻击是新型的“缓冲区溢出攻击“， 而JavaScript是新型的“ShellCode”。 数据来源：2007 OWASP Top 10的MITRE数据 注：OWASP是世界上最知名的Web安全与数据库安全研究组织 从这张图中我们看到，在2007年OWASP所统计的所有安全威胁中，跨站脚本攻击占到了22%，高居所有 Web威胁之首。 XSS攻击的危害包括
1、盗取各类用户帐号，如机器登录帐号、用户网银帐号、各类管理员帐号
2、控制企业数据，包括读取、篡改、添加、删除企业敏感数据的能力
3、盗窃企业重要的具有商业价值的资料
4、非法转账
5、强制发送电子邮件
6、网站挂马
7、控制受害者机器向其它网站发起攻击

XSS漏洞的分类
XSS漏洞按照攻击利用手法的不同，有以下三种类型： 类型A，本地利用漏洞，这种漏洞存在于页面中客户端脚本自身。其攻击过程如下所示：
Alice给Bob发送一个恶意构造了Web的URL。 Bob点击并查看了这个URL。 恶意页面中的JavaScript打开一个具有漏洞的HTML页面并将其安装在Bob电脑上。 具有漏洞的HTML页面包含了在Bob电脑本地域执行的JavaScript。 Alice的恶意脚本可以在Bob的电脑上执行Bob所持有的权限下的命令。 类型B，反射式漏洞，这种漏洞和类型A有些类似，不同的是Web客户端使用Server端脚本生成页面为用户提 供数据时，如果未经验证的用户数据被包含在页面中而未经HTML实体编码，客户端代码便能够注入到动态页面 中。其攻击过程如下： Alice经常浏览某个网站，此网站为Bob所拥有。Bob的站点运行Alice使用用户名/密码进行登录，并存储敏感 信息(比如银行帐户信息)。 Charly发现Bob的站点包含反射性的XSS漏洞。 Charly编写一个利用漏洞的URL，并将其冒充为来自Bob的邮件发送给Alice。 Alice在登录到Bob的站点后，浏览Charly提供的URL。 嵌入到URL中的恶意脚本在Alice的浏览器中执行，就像它直接来自Bob的服务器一样。此脚本盗窃敏感信息 (授权、信用卡、帐号信息等)然后在Alice完全不知情的情况下将这些信息发送到Charly的Web站点。 类型C，存储式漏洞，该类型是应用最为广泛而且有可能影响到Web服务器自身安全的漏洞，骇客将攻击脚 本上传到Web服务器上，使得所有访问该页面的用户都面临信息泄漏的可能，其中也包括了Web服务器的管理员 。其攻击过程如下： Bob拥有一个Web站点，该站点允许用户发布信息/浏览已发布的信息。 Charly注意到Bob的站点具有类型C的XSS漏洞。 Charly发布一个热点信息，吸引其它用户纷纷阅读。 Bob或者是任何的其他人如Alice浏览该信息，其会话cookies或者其它信息将被Charly盗走。 类型A直接威胁用户个体，而类型B和类型C所威胁的对象都是企业级Web应用，目前天清入侵防御产品所能 防范的XSS攻击包括类型B和类型C。

2.1.1 基于特征的防御 XSS漏洞和著名的SQL注入漏洞一样，都是利用了Web页面的编写不完善，所以每一个漏洞所利用和针对的 弱点都不尽相同。这就给XSS漏洞防御带来了困难：不可能以单一特征来概括所有XSS攻击。 传统XSS防御多采用特征匹配方式，在所有提交的信息中都进行匹配检查。对于这种类型的XSS攻击，采用 的模式匹配方法一般会需要对“javascript”这个关键字进行检索，一旦发现提交信息中包含“javascript”，就认定为 XSS攻击。这种检测方法的缺陷显而易见：骇客可以通过插入字符或完全编码的方式躲避检测： 躲避方法1)在javascript中加入多个tab键，得到 < IMG SRC="jav ascript:alert('XSS');" >; 躲避方法2) 在javascript中加入(空格)字符，得到 < IMG SRC="javascri pt:alert('XSS');" >; 躲避方法3) 在javascript中加入(回车)字符，得到 < IMG SRC="jav ascript:alert('XSS');" >; 躲避方法4)在javascript中的每个字符间加入回车换行符，得到 < IMG SRC="javascrip\r \nt:alert('XSS');" > 躲避方法5)对"javascript:alert('XSS')"采用完全编码，得到 < IMGSRC=javascrip?74:alert('XSS') > 上述方法都可以很容易的躲避基于特征的检测。而除了会有大量的漏报外，基于特征的 还存在大量的误报可能：在上面的例子中，对上述某网站这样一个地址，由于包含了关键字“javascript”，也 将会触发报警。

基于代码修改的防御 和SQL注入防御一样，XSS攻击也是利用了Web页面的编写疏忽，所以还有一种方法就是从Web应用开发的 角度来避免： 步骤1、对所有用户提交内容进行可靠的输入验证，包括对URL、查询关键字、HTTP头、POST数据等，仅 接受指定长度范围内、采用适当格式、采用所预期的字符的内容提交，对其他的一律过滤。 步骤2、实现Session标记(session tokens)、CAPTCHA系统或者HTTP引用头检查，以防功能被第三方网站 所执行。 步骤3、确认接收的的内容被妥善的规范化，仅包含最小的、安全的Tag(没有javascript)，去掉任何对远程内 容的引用(尤其是样式表和javascript)，使用HTTP only的cookie。 当然，如上操作将会降低Web业务系统的可用性，用户仅能输入少量的制定字符，人与系统间的交互被降到 极致，仅适用于信息发布型站点。并且考虑到很少有Web编码人员受过正规的安全培训，很难做到完全避免页面 中的XSS漏洞。

引发这次事件的就是COOKIE

方法二
请全体吧主不要对吧内的精品贴 进行操作，如发现账号已被窃取，请清理你 的上网记录，并用手机修改密码。等待百度 官方解决。通知您吧吧务组不要对任何置顶贴进行点击 ，删除可进入帖子管理系统进行删封，如发 现你的回复数突然增加，请不要点击进你所 发表的帖子。贴吧病毒紧急解决方案各大贴吧都被病毒帖攻占了，解决方案如下 ，找到C:\Windows\System32\drivers\etc\ho sts，用记事本打开，在最下面添加一行 127. 0.0.1 xss.retaker. me 保存关闭。关掉浏览器 再打开，这样子这个恶意脚本就无法获取到 ，也就无法执行。(这个脚本是恶意转发，不 会被盗号，改密码也没用)！

大概就是这些了，最近各位吧友注意些，防止xss入侵@梦孟德酱 @傲娇别扭受的攻 @自来也25 @__sky凌空 @奶茶小狐 @柠檬陈皮的无知 @残纯兮丶 @纤醉梧桐 @梓兮shi @百合花雪见

。。。。。。

大概就是这些了，最近各位吧友注意些，防止xss入侵@爱play的你 @心语小炎热@钰钰girl @゛口口口筱╮ @壹旪漠夏ling @双子座的橘蕉 @煞_不傻 @米粒儿佳佳 @狱_双生 @TOT杯具

大概就是这些了，最近各位吧友注意些，防止xss入侵@唐三的痛 @心语小炎 @那是一片汪洋 @恋上你de巧克力 @601052118 @唐门Q唐舞 @ii空灵ii

在别的吧看过了···听说最近不能加精品是怎么回事···

看不懂....谁告诉我怎么预防就好了...

恩见过这些贴