跨站点脚本（XSS）是一种计算机安全漏洞通常在Web应用程序中找到使恶意攻击者能够将客户端脚本注入Web其他用户查看的页面。一个利用跨站点脚本攻击者可以使用此漏洞绕过访问控制，例如相同的原产地政策。跨站网站上进行的脚本编写是大约80％的安全性Symantec记录的漏洞截至2007年。
好吧，这是否意味着黑客在访问具有未转义输入的合法站点时，会制作一些恶意JS / VBscript并将其交付给毫无戒心的受害者？
我的意思是，我知道SQL注入是如何完成的。...
我特别不明白JS / VBscript会如何造成如此多的损害！我认为它们仅在浏览器中运行，但损坏的范围显然是keylogging to cookie stealing and trojans。
我对XSS的理解正确吗？如果没有，有人可以澄清吗？
如何防止XSS在我的网站上发生？这似乎很重要； 80％的安全漏洞意味着这是危害计算机的一种极为常见的方法。
- 我发现Google有一个XSS漏洞。
- 我编写了一个脚本，用于重写Google的公共页面，使其看起来与实际的Google登录名完全相同。
- 我的伪造页面提交给第三方服务器，然后重定向回真实页面。
- 我获得了Google帐户密码，用户不知道发生了什么，Google不知道发生了什么。
XSS作为CSRF的平台（据称这实际上发生了）
- Amazon具有CSRF漏洞，其中“ 总是让我保持登录状态]” cookie允许您将条目标记为令人反感。
- 我在高流量站点上发现了XSS漏洞。
- [我编写了一个JavaScript，该JavaScript引用了URL，以将亚马逊上男女同性恋作家所写的所有书都标记为令人反感。
- 对于Amazon，他们从具有真实auth
cookie的真实浏览器中获取有效请求。一夜之间所有的书都从现场消失了。- Internet吓死了。
- 我发现一个电子商务网站，该网站在登录后不会重置其会话（就像任何ASP.NET站点一样），能够通过查询字符串或Cookie传递会话ID，并存储身份验证信息在会话中（非常常见）。
- 我在该站点的页面上发现了XSS漏洞。
- 我编写了一个将会话ID设置为我控制的脚本。
- 有人点击了该页面，并撞到了我的会话中。
- 他们登录。
- 我现在有能力做自己想做的任何事情，包括用已保存的卡购买产品。
这三个是大个子。 XSS，CSRF和Session Fixation攻击的问题在于，它们非常难以跟踪和修复，并且允许简单，尤其是在开发人员对此不太了解的情况下。
由于已经给出了如何XSS恶意的答案，所以我只回答以下未回答的问题：
我不知道JS / VBscript怎么会造成这么多损害！
想象一个网络论坛。 XSS攻击可能是我发布了一些JavaScript。当您浏览到页面时，您的网页将加载并运行js并执行我所说的操作。当您浏览到该页面并且很可能已登录时，我的javascript会执行您有权执行的任何操作，例如发表信息，删除您的信息，插入垃圾邮件，显示弹出窗口等。
XSS攻击的问题与钓鱼有关。问题在于，客户信任的站点可能会注入导致攻击者出于特定目的而创建站点的代码。例如，窃取敏感信息。