MDN wants to learn about developers like you: https://qsurvey.mozilla.com/s3/MDN-dev-survey

Cross-site scripting

这篇翻译不完整。请帮忙从英语翻译这篇文章

Cross-site scripting (XSS)是一种安全漏洞,攻击者利用这种漏洞在网站上注入恶意的客户端代码。当被攻击者登陆网站时就会自动运行这些恶意代码,从而,攻击者可以突破网站的访问权限,冒充受害者。根据开放式Web应用安全项目,xss在2013年被认为第3大常见的Web应用程序漏洞。

如果web应用程序没有部署足够的安全验证,那么,这些攻击很容易成功。浏览器无法探测到这些恶意脚本是不可信的,所以,这些脚本可以任意读取cookie,session tokens,或者其它敏感的网站信息,或者让恶意脚本重写html内容。

在以下2种情况下,容易发生xss攻击:1)数据从一个不可靠的链接进入到一个web应用程序。2)没有过滤掉恶意代码的动态内容被发送给web用户。

恶意内容一般包括javascript,但是,有时候也会包括html,flash。XSS攻击的形式千差万别,但是,它们的共同点为:将一些隐私数据像cookie、session发送给攻击者,将受害者重定向到一个由攻击者控制的网站,在受害者的机器上进行一些恶意操作。

XSS攻击可以分为3类:存储型(持久型)、反射型(非持久型)、基于DOM。

存储型XSS

注入型脚本永久存储在目标服务器上。当浏览器请求数据时,脚本从服务器上传回并执行。

反射型XSS

当用户点击一个恶意链接,或者提交一个表单,或者进入一个恶意网站时,注入脚本进入被攻击者的网站。Web服务器将注入脚本,比如一个错误信息,搜索结果等 返回到用户的浏览器上。浏览器会执行这段脚本,因为,它认为这个响应来自可信任的服务器。

基于DOM的XSS

被执行的恶意脚本会修改页面脚本结构。

文档标签和贡献者

 此页面的贡献者: wangfengzi
 最后编辑者: wangfengzi,