跨站脚本(XSS)
(1)应用描述
用户在浏览网站、玩电脑或者手机游戏、阅读电子邮件、书籍时，都可以看到在页面的边角处等地方会有动态的图片，小的字样等连接。攻击者通过在这种链接中插入恶意代码，当用户不小心单击这样带有恶意代码的链接时，其用户信息就有可能被攻击者盗取。攻击者通常对链接进行编码，以避免用户识破恶意代码的伪装，怀疑链接的合法性。网站在接收到包含恶意代码的请求后，会产生一个包含恶意代码的页面，这个页面看起来和原本的链接应当生成的页面一样。目前网上很多网站允许用户发表包含HTML和JavaScript 的帖子，比如CSDN 中一些关于代码讨论的请求贴，假设攻击者将恶意代码伪装在发表的JS 帖子中，当其他用户在访问该帖子的时候，恶意脚本就会执行，盗取浏览该帖子用户的信息等。而这就是跨站脚本攻击，全名是Cross Site Scripting ，原本应该是CSS ，为了和层叠样式表( Cascading Style Sheet, CSS) 分开，所以称为XSS 。
XSS 允许攻击者在受害者的浏览器上执行脚本，从而劫持用户会话、危害网站、或者将用户转向至恶意网站。任何能够发送不可信数据到系统的人，包括外部用户、内部用户和管理员，都可能发动XSS 。
(2) 普遍性和检测性
跨站脚本漏洞是最普遍的Web 应用安全漏洞。当应用程序发送给浏览器的页面中包含用户提供的数据，而这些数据没有经过适当的验证或者转义(escape) ，就会导致跨站脚本漏洞。有三种己知的跨站漏洞类型:存储式、反射式、基于DOM 的xss 。
(3)影响
攻击者能在受害者的浏览器中执行脚本以劫持用户会话和浏览器、破坏网站、插入恶意内容、重定向用户、盗取用户账号、控制企业数据、非法转账、强制发送电子邮件等等。
(4) 例子
2011 年6 月28 日晚，新浪微博中出现了一次较大的XSS 攻击事件。大量用户自动转发诸如"郭美美事件中未注意到的一些细节"、"建党大业中穿帮地方"、"这就是传说中的神仙眷侣啊"等等微博和私信，并且自动关注一名为hellosamy 的用户。
事件经过线索如下20:14 ，开始有大量带V 的认证用户中招转发蠕虫；20:30 ，网站的病毒页面无法访问；20:32 ，新浪微博中hellosamy 用户无法访问；21:02 ，新浪漏洞修补完毕。