十大常见web漏洞——跨站脚本漏洞

点击确认，也会出现内容为“5555”的弹窗，但是它和反射型跨站不同的是“<script>alert(5555);</script>”已经存入到后台数据库中，当我们再点击上图左侧XSS（stored）时依然会出现下图所示的弹窗，可以看到下图浏览器地址栏里没有“name=<script>alert(5555);</script>”参数。

3、DOM跨站（DOM XSS）：是一种发生在客户端DOM（Document Object Model文档对象模型）中的跨站漏洞，很大原因是因为客户端脚本处理逻辑导致的安全问题。这个情况比较多，我们可以在打开浏览器网页时按“F12”，如下图

理论上那些有交互的HTML标签都可能存在DOM型跨站。

以上是为了验证XSS漏洞存在，使用了比较简单的代码，如果换成获取cookies信息的代码，或者是做成非常有吸引力的弹窗，就会诱导用户点击，从而掉入攻击者的陷阱。

常用的防止XSS漏洞技术包括：

1、与SQL注入防护的建议一样，假定所有输入都是可疑的，必须对所有输入中的script、iframe等字样进行严格的检查。这里的输入不仅仅是用户可以直接交互的输入接口，也包括HTTP请求中的Cookie中的变量，HTTP请求头部中的变量等。

2、不仅要验证数据的类型，还要验证其格式、长度、范围和内容。

3、不要仅仅在客户端做数据的验证与过滤，关键的过滤步骤在服务端进行。

4、对输出的数据也要检查，数据库里的值有可能会在一个大网站的多处都有输出，即使在输入做了编码等操作，在各处的输出点时也要进行安全检查。

5、在发布应用程序之前测试所有已知的威胁。

没有网络安全，就没有国家安全。