XSS跨站攻击漏洞的特征、危害及修复方法

漏洞特征：

此处内容已经被作者隐藏，请输入验证码查看内容

验证码：

请关注本站微信公众号，回复“验证码”，获取验证码。在微信里搜索“左手Excel右手VBA”或者“URItker”或者微信扫描右侧二维码都可以关注本站微信公众号。

漏洞危害：

　　1、钓鱼欺骗：最典型的就是利用目标网站的反射型跨站脚本漏洞将目标网站重定向到钓鱼网站，或者注入钓鱼javaScript以监控目标网站的表单输入，甚至发起基于DHTML更高级的钓鱼攻击方式。

　　2、网站挂马：跨站时利用IFRAMe嵌入隐藏的恶意网站或者将被攻击者定向到恶意网站上，或者弹出恶意网站窗口等方式都可以进行挂马攻击。

　　3、身份盗用：cookie是用户对于特定网站的身份验证标志，XSS可以盗取到用户的Cookie，从而利用该Cookie盗取用户对该网站的操作权限。如果一个网站管理员用户Cookie被窃取，将会对网站引发巨大的危害。

　　4、盗取网站用户信息：当能够窃取到用户Cookie从而获取到用户身份使，攻击者可以获取到用户对网站的操作权限，从而查看用户隐私信息。

　　5、垃圾信息发送：比如在SNS社区中，利用XSS漏洞借用被攻击者的身份发送大量的垃圾信息给特定的目标群。

　　6、劫持用户Web行为：一些高级的XSS攻击甚至可以劫持用户的Web行为，监视用户的浏览历史，发送与接收的数据等等。

　　7、XSS蠕虫：XSS 蠕虫可以用来打广告、刷流量、挂马、恶作剧、破坏网上数据、实施ddos攻击等。

修复方案：

避免XSS的方法之一主要是将用户所提供的内容输入输出进行过滤 ,可以利用下面这些函数对出现xss漏洞的参数进行过滤

•     php的htmlentities()或是htmlspecialchars()。

•     Python的cgi.escape()。

•     ASP的Server.HTMLEncode()。

•     ASP.NET的Server.HtmlEncode()或功能更强的Microsoft Anti-CrOSS Site Scripting Library

•     Java的xssprotect(Open Source Library)。

•     Node.js的node-validator。