什么是XSS攻击？XSS攻击有哪几种类型？

老男孩IT教育

常见问题

2021年7月21日 16:24

网络安全攻击方式有很多种，其中包括XSS攻击、SQL注入攻击、URL篡改等。那么XSS攻击到底是什么?XSS攻击有哪几种类型?今天小编为大家讲解一下。

　　网络安全攻击方式有很多种，其中包括XSS攻击、SQL注入攻击、URL篡改等。那么XSS攻击到底是什么?XSS攻击有哪几种类型?今天小编为大家讲解一下。

网络安全XSS攻击

　　什么是XSS攻击?

　　XSS攻击又称为跨站脚本，XSS的重点不在于跨站点，而是在于脚本的执行。XSS是一种经常出现在Web应用程序中的计算机安全漏洞，是由于Web应用程序对用户的输入过滤不足而产生的，它允许恶意web用户将代码植入到提供给其它用户使用的页面中。

　　XSS攻击有哪几种类型?

　　常见的XSS攻击有三种：反射型XSS攻击、DOM-based型XSS攻击、存储型XSS攻击。

　　第一种：反射型XSS攻击

　　反射型XSS攻击一般是攻击者通过特定手法，诱使用户去访问一个包含恶意代码的URL，当受害者点击这些专门设计的链接的时候，恶意代码会直接在受害者主机上的浏览器执行。此类XSS攻击通常出现在网站的搜索栏、用户登录口等地方，常用来窃取客户端Cookies或进行钓鱼欺骗。

　　第二种：DOM-based型XSS攻击

　　客户端的脚本程序可以动态地检查和修改页面内容，而不依赖于服务器端的数据。例如客户端如从URL中提取数据并在本地执行，如果用户在客户端输入的数据包含了恶意的JavaScript脚本，而这些脚本没有经过适当的过滤或者消毒，那么应用程序就可能受到DOM-based型XSS攻击。

　　需要特别注意以下的用户输入源document.URL、location.hash、location.search、document.referrer 等。

　　第三种：存储型XSS攻击

　　攻击者事先将恶意代码上传或者储存到漏洞服务器中，只要受害者浏览包含此恶意代码的页面就会执行恶意代码。这意味着只要访问了这个页面的访客，都有可能会执行这段恶意脚本，因此存储型XSS攻击的危害会更大。此类攻击一般出现在网站留言、评论、博客日志等交互处，恶意脚本存储到客户端或者服务端的数据库中。

　　老男孩教育网络安全培训学院，师资力量雄厚，10年以上网络安全技术大咖倾情授课，完整实训案例、前沿技术成果展示、行业必备技能传授，名师更易出高徒。理论与实践相结合，全程面授教学，边讲边练，帮助学员高效掌握网络安全技能快速成长。

　　推荐阅读：

　　渗透测试的攻击方式有哪些?老男孩网络安全学多久?

本文经授权发布，不代表老男孩教育立场。如若转载请联系原作者。

扫码加入网络安全学院讨论学习群