跨站腳本攻擊-----概念（1） ``` 跨站腳本攻擊（Cross site scripting，XSS），是一種迫使Web站點回顯可執行代碼的攻擊技術，攻擊者通過構造一些具有特定目的的可執行惡意代碼，比如盜取用戶的賬號、口令或者cookie信息等，然后把這些構造好的代碼嵌入Web頁面里，當用戶瀏覽該頁面時，嵌入其中的可執行的惡意代碼就會被執行，從而達到攻擊者的目的。 要對一個Web站點進行跨站腳本攻擊，首先必須要檢測出該Web站點是否存在跨站腳本漏洞，因為只有存在跨站腳本漏洞，才可以使被嵌入Web頁面的惡意代碼被瀏覽器觸發執行。 ``` 跨站腳本攻擊----跨站腳本漏洞（2） ``` 由于程序員在編寫Web應用程序時，對于一些允許用戶輸入、提交的數據（比如留言板、評論等）沒有做充分的過濾，就直接把數據提交到站點數據庫，或者直接把數據嵌入Web頁面作為請求響應發送給用戶，如果是這樣，惡意用戶則可以提交一些特別構造好的惡意代碼，這些惡意代碼一般是由JavaScript或者VBScript腳本語言寫的，由于Web應用程序沒有完全過濾惡意用戶提交的代碼，則惡意代碼可以被執行，那么該Web應用程序在此處就存在跨站腳本漏洞。 ``` 跨站腳本攻擊--跨站腳本漏洞分類（3）    跨站腳本攻擊--跨站腳本實例（4） 第三方xss平臺： http://xsspt.com/ 實驗url：dedecms http://192.168.3.85:800/DedeCmsV5.6-GBK-Final/uploads/index.html 后臺地址： http://192.168.3.85:800/DedeCmsV5.6-GBK-Final/uploads/dede/login.php?gotopage=/DedeCmsV5.6-GBK-Final/uploads/dede/