2018Web攻防训练营XSS跨站脚本分类1.XSS漏洞介绍2.反射型XSS3.存储型XSS4.DOM型XSS课程内容01XSS漏洞介绍跨站脚本攻击(CrossSiteScripting)，为了不和层叠样式表(CascadingStyleSheets,CSS)的缩写混淆，故将跨站脚本攻击缩写为XSS。恶意攻击者往Web页面里插入恶意Script代码，当用户浏览该页之时，嵌入其中Web里面的Script代码会被执行，从而达到恶意攻击用户的目的。02反射型XSS反射型XSS又称非持久性XSS，这种攻击往往具有一次性。攻击者通过邮件等形式将包含XSS代码的链接发送给正常用户，当用户点击时，服务器接受该用户的请求并进行处理，然后把带有XSS的代码发送给用户。用户浏览器解析执行代码，触发XSS漏洞。例如：返回Whois信息当用户访问url?uname=时，触发代码，弹出对话框。03存储型XSS存储型XSS又称持久型XSS，攻击脚本存储在目标服务器的数据库中，具有更强的隐蔽性。攻击者在论坛、博客、留言板中，发帖的过程中嵌入XSS攻击代码，帖子被目标服务器存储在数据库中。当用户进行正常访问时，触发XSS代码。例如：DVWA中的StoredXSS04DOM型XSSDOM型XSS全称DocumentObjectModel，使用DOM动态访问更新文档的内容、结构及样式。DOM结构图HTML标签都是节点，节点组成了节点树。通过HTMLDOM可以对树上的所有节点进行修改。服务器响应不会处理攻击者脚本，而是用户浏览器处理这个响应时，DOM对象就会处理XSS代码，触发XSS漏洞例如：DVWADOMXSS。1.XSS漏洞介绍2.反射型XSS3.存储型XSS4.DOM型XSS总结再见欢迎关注Web安全训练营课程
