-
XSS 是一种被恶意注入不好的代码，然后在用户的软件或者浏览器中运行，通常原因是由于浏览器或者软件过滤不足，或者浏览一些不友好的博客文章
-
XSS 对服务器不具有毒害性，具有强烈的传播性，可以类似于病毒传播，借助于浏览器平台进行大肆传播
-
XSS 普遍原因：
web 浏览器安全技术
安全意识
软件开发人员并没有在安全方面深入学习
攻击范围多且广，防不胜防
XSS 最初是一种弹出对话框使用户输入信息的一种攻击性不强的技术，但是它和其他技术一起使用，很容易使网站瘫痪，造成很大的损失 -
反射型 XSS
将不好的代码注入到 URL 的地址参数中，在用户访问网站时，可以弹出对话框，只有用户点击时才会触发攻击，并且不会残留，所以只要用户具有安全意识，还是可以避免的，但是，有时候侵略者会用一些编码转换解决 -
持久型 XSS
这种恶意代码的伤害更大，它将恶意代码存入漏洞服务器中，只要用户访问此网址，代码就会自动执行，往往存在于博客文章中，当一个大网站被攻击时，在里面注册的用户很大可能就会被攻击，导致大批量的工作瘫痪，并且这种 XSS 更能轻易的写出危害性更大的代码 -
发掘反射型的 XSS
在一些网页的搜索框内输入 XSS’ ‘’，按搜索，出现搜索内容，表示有反射型 XSS 漏洞，这是返回搜索框，在里面输入网页代码，之后登录后台可以发现浏览器将这句代码直接进行了翻译，并没有过滤有害字符，导致了一个持久型存在于留言位置的 XSS 漏洞
其中我们把即利用白盒技术也利用黑盒技术的行为叫做灰盒技术
同时需要注意的是有时候不能将代码翻译出来原因在于标签前后开闭，注意增补标签，使浏览器顺利翻译出来 -
XSS Cheat Sheet
http://ha.ckers.org/xss.html 在这里面有很多测试用例可以方便用于 XSS 测试 -
进行以上两个简单的 XSS 测试时，发现几乎没有网站这么脆弱… 原因在于它们一般有一个好东西 ------XSS-Filter，中文名跨站脚本过滤器，实际上它就是一些用于过滤各种各样字符的一些函数，我们都知道，上有政策下有对策，所以尽管这段函数想的再精细，也防不胜防，总有一些空子可以钻，但是错误还是基本能防范的
这个跨站脚本过滤器呢，有一个小特点，人们在设计它的时候，在里面加入了白名单和黑名单，白名单是可以完全信任的，当输入任何东西，可以不用过滤、消毒、筛选，就能直接发布，黑名单则不一样，要进行严格的过滤 -
利用 < > 标记注射 Html /Javascript
攻：当用户浏览器没有过滤掉 <> 这些字符时，用户就可以利用 JS 或 Vbscript 进行一些代码编写，从而插入恶意脚本
防：过滤掉 <> 或者