本文目录一览：
xss攻击的实例
XSS又叫CSS (Cross Site Script) ，跨站脚本攻击。它指的是恶意攻击者往Web页面里插入恶意html代码，当用户浏览该页之时，嵌入其中Web里面的html代码会被执行，从而达到恶意攻击用户的特殊目的。XSS属于被动式的攻击，因为其
哪有放XSS跨站脚本工具的第三方工具/
不修改网站程序,使用第三方工具来防范XSS跨站式脚本攻击
网站要怎么防范常见的XSS跨站式脚本攻击呢，我们先从XSS跨站式脚本攻击的原理来说起。
网站遭受XSS跨站式脚本攻击的基本原理
1.本地利用漏洞，这种漏洞存在于页面中客户端脚本自身。
其攻击过程如下所示：
A给B发送一个恶意构造了Web的URL。
B点击并查看了这个URL。
恶意页面中的JavaScript打开一个具有漏洞的HTML页面并将其安装在B电脑上。
具有漏洞的HTML页面包含了在B电脑本地域执行的JavaScript。
A的恶意脚本可以在B的电脑上执行B所持有的权限下的命令。
2反射式漏洞，这种漏洞和本地利用漏洞有些类似，不同的是Web客户端使用Server端脚本生成页面为用户提供数据时，如果未经验证的用户数据被包含在页面中而未经HTML实体编码，客户端代码便能够注入到动态页面中。
其攻击过程如下：
A经常浏览某个网站，此网站为B所拥有。B的站点运行A使用用户名/密码进行登录，并存储敏感信息（比如银行帐户信息）。
C发现B的站点包含反射性的XSS漏洞。
C编写一个利用漏洞的URL，并将其冒充为来自B的邮件发送给A。
A在登录到B的站点后，浏览C提供的URL。
嵌入到URL中的恶意脚本在A的浏览器中执行，就像它直接来自B的服务器一样。此脚本盗窃敏感信息（授权、信用卡、帐号信息等）然后在A完全不知情的情况下将这些信息发送到C的Web站点。
3存储式漏洞，该类型是应用最为广泛而且有可能影响到Web服务器自身安全的漏洞，骇客将攻击脚本上传到Web服务器上，使得所有访问该页面的用户都面临信息泄漏的可能，其中也包括了Web服务器的管理员。
其攻击过程如下：
B拥有一个Web站点，该站点允许用户发布信息/浏览已发布的信息。
C注意到B的站点具有存储式的XXS漏洞。
C发布一个热点信息，吸引其它用户纷纷阅读。
B或者是任何的其他人如A浏览该信息，其会话cookies或者其它信息将被C盗走。
类型A直接威胁用户个体，而类型B和存储式漏洞所威胁的对象都是企业级Web应用。
网站遭受XSS跨站式脚本攻击的基本方式
1. DOM-based cross-site scripting
页面本身包含一些DOM对象的操作，如果未对输入的参数进行处理，可能会导致执行恶意脚本。如下面一些DOM操作：
document.URL
document.URLUnencoded
document.location (and many of its properties)
document.referrer
window.location (and many of its properties)
举个例子，假如某个脆弱的页面的代码如下：
HTML
TITLEWelcome!/TITLE
Hi
SCRIPT
var pos=document.URL.indexOf("name=")+5;
document.write(document.URL.substring(pos,document.URL.length));
/SCRIPT
BR
Welcome to our system
…
/HTML
攻击者使用如下的URL访问时，则非常危险：
;scriptalert(document.cookie)/script
试了一下，貌似IE、FireFox等浏览器默认 对scriptalert(document.cookie)/script进行了编码，阻止了脚本的执行。但是对于 DOM操作还是要更加谨慎啊，比如把上面的页面修改一下，安全性就增强了不少：
SCRIPT
var pos=document.URL.indexOf("name=")+5;
var name=document.URL.substring(pos,document.URL.length);
if (name.match(/^[a-zA-Z0-9]$/))
{
document.write(name);
}
else
{
window.alert("Security error");
}
/SCRIPT
2. Reflected cross-site scripting
也被称为None-Persistent cross-site scripting，即，非持久化的XSS攻击，是我们通常所说的，也是最常用，使用最广的一种方式。它通过给别人发送带有恶意脚本代码参数的URL，当 URL地址被打开时，特有的恶意代码参数被HTML解析、执行。它的特点是非持久化，必须用户点击带有特定参数的链接菜能引起。
3. Persistent cross-site scripting
持久化XSS攻击，指的是恶意脚本代码被存储进被攻击的数据库，当其他用户正常浏览网页时，站点从数据库中读取了非法用户存入非法数据，恶意脚本代码被执行。这种攻击类型通常在留言板等地方出现。
实施方式
我们来试一把Reflected cross-site scripting。当我们在某网站输入参数XXX，发现参数XXX原样的出现在了页面源码中：
1. input type="text" class="981f-589e-0923-98da Seach" name="w" value="XXX" /
OK，可以开始做文章了，我们将XXX替换为：abc"/scriptalert('haha')/scripta href="，返回的HTML代码如下：
1. input type="text" class="589e-0923-98da-9f73 Seach" name="w" value="abc"/
2. scriptalert('haha')/script!--" /
这样，scriptalert('haha')/script被执行了。这里再举例一些XSS攻击行为：
1. IMG SRC="javascript:alert('XSS');"
2. IMG SRC=javascript:alert('XSS')
3. IMG SRC="javascript:alert(String.fromCharCode(88,83,83))"
4. IMG SRC="jav ascript:alert('XSS');"
5. SCRIPT/XSS SRC=""/SCRIPT
6. SCRIPTalert("XSS");///SCRIPT
7. iframe src=
8. INPUT TYPE="IMAGE" SRC="javascript:alert('XSS');"
9. BODY BACKGROUND="javascript:alert('XSS')"
10. BODY ONLOAD=alert(document.cookie)
11. BODY onload!#$%()*~+-_.,:;?@[/|"]^`=alert("XSS")
12. IMG DYNSRC="javascript:alert('XSS')"
13. IMG DYNSRC="javascript:alert('XSS')"
14. BR SIZE="{alert('XSS')}"
15. IMG SRC='vbscript:msgbox("XSS")'
16. TABLE BACKGROUND="javascript:alert('XSS')"
17. DIV STYLE="width: expression(alert('XSS'));"
18. DIV STYLE="background-image: url(javascript:alert('XSS'))"
19. STYLE TYPE="text/javascript"alert('XSS');/STYLE
20. STYLE type="text/css"BODY{background:url("javascript:alert('XSS')")}/STYLE
21. ?='SCRIPTalert("XSS")/SCRIPT'?
22. A HREF="javascript:document.location=''"XSS/A
23. IMG SRC=javascript:alert('XSS')
24. EMBED SRC="" AllowScriptAccess="always"/EMBED
25. a="get";
26. b="URL(""";
27. c="javascript:";
28. d="alert('XSS');"")";
29. eval(a+b+c+d);
总结一下，要防止XSS跨站式脚本攻击主要是要在查询字符串(QueryString)，表单数据（PostData）以及Cookie甚至HTTP报头（Header）中防止掉一些javascript关键字和一些敏感的字符（单引号，分号）以及SQL语言的关键字，以及防止他们使用encode编码。
用ASP或者PHP脚本来实现上面的这些想起来就很麻烦。下面就来介绍下用一个第三方工具IISUTM来处理上面我们说到的问题。
准备工作：先去下载最新的IISUTM版本。
根据IISUTM网站防火墙安装及操作手册 中的说明把IISUTM部署到你的服务器上来，这里需要注意的是使用Windows 2003+iis6的服务器，需要开启iis中“以IIS5.0 隔离模式运行 www 服务”选项才能正常使用该软件。
安装完成，通过浏览器访问IISUTM的配置管理界面默认的是，这个是私有地址，只能在该服务器上访问，你需要任何地方都能访问的话，可以在安装的时候IP地址的选项那里填入你服务器的公网IP地址，和你所开放的端口。这样你就可以通过你配置的地址进行访问，或者你可以在iis中直接管理名为IISUTM的站点。
登陆管理界面后点击上面导航栏中的“基本设置”，然后点击左边菜单的“防XSS攻击”链接。
开启该链接里所有的选项，选中之后IISUTM会自动保存配置，下面的“使用不允许的发送序列”是该软件提供的XSS攻击关键字的特征库，你可以根据你网站的情况进行更改（最好不要修改）。
确认以上的配置以后，你可以返回到IISUTM管理界面的首页，这里会列出最近服务器遭受到的攻击以及详细，赶紧去看看你的网站是不是随时有人在进行SQL注入吧，以及哪些攻击被IISUTM处理掉了。
常见Web前端技术之间的关系，你了解多少
如果你是一个Web开发初学者，那么你难免会在网上搜索HTML, CSS, XML, JS(Javascript), DOM, XSL等等这些词的意思，然而，随着学习的深入。当你把他们搅在一起，你又糊涂了，你会不停的问，HTML是什么?CSS是什么?XML是什么?JS是什么?它们到底有什么用?无论是网络百科，还是一些IT专题网站，又或者一些牛人博客，他们都会告诉你，某个单一的东西是什么，这类文章很多，但很少有涉及，它们组合起来是什么，有什么用。我想，我写这篇文章，就是为了说明一下这个他们很少涉及的问题。
归纳、总结、提炼能力是我们进步的发动机，这种能力是可以有意识地培养的，拉卡拉电子支付公司董事长兼总裁孙陶然提到：在拉卡拉我们要求用三条说清楚任何问题就是一种能力训练，任何问题如果不能用三条说清楚说明你还没想透。
在这里，我争取用最根本的语言向大家分别说明HTML, CSS, XML, JS到底是什么，有什么用。然后我们再来看把他们组合起来是什么，有什么用。当然如果你对HTML, CSS, XML, JS有足够了解，可以直接跳过，看文章的后半部分，那里才是本文核心所在。
第一部分
1. HTML超文本标记语言 (Hyper Text Markup Language) ，是用来描述网页的一种标记语言。
html
head
titleHTML/title
/head
body
p id="num1"Hello World! I'm HTML/p
/body /html 12345678
网页文件本身是一种文本文件，通过在文本文件中添加标记，可以告诉浏览器如何显示其中的内容(如：文字如何处理，画面如何安排，图片如何显示等)。
HTML之所以称为超文本标记语言，是因为文本中包含了所谓“超链接”点。超文本(Hypertext)是用超链接的方法，将各种不同空间的文字信息组织在一起的网状文本。
概括，HTML就是整合网页结构和内容显示的一种语言。
Hello World! I'm HTML1
浏览器按顺序阅读网页文件，然后根据标记符解释和显示其标记的内容。
这段内容在浏览器上显示的结果是：Hello World! I’m HTML
我们看
标签上有一个id，这是
这个标签的唯一标识，方便别人找到它，对它进行操作。
2. CSS 层叠样式表单(Cascading StyleSheet)。是将样式信息与网页内容分离的一种标记性语言 。作为网站开发者，你能够为每个HTML元素定义样式，并将之应用于你希望的任意多的页面中。如需进行全局的更新，只需简单地改变样式，然后网站中的所有元素均会自动地更新。这样，即设计人员能够将更多的时间用在设计方面，而不是费力克服HTML的限制。说白了，CSS就是设置网页上HTML元素属性的语言。
CSS代码：
#hello{
color:blue;
} 123
当把这段CSS代码应用于HTML中，它会找到id为“hello”的HTML标签，将其中的内容以蓝色显示出来;具体的插入HTML的方法这里不再赘述(说一句，只说明是什么，有什么用的问题，不关注技术细节，技术细节网上很好找)。
3. Javascript，首先说明JavaScript和Java无关，JavaScript 是属于网络的脚本语言!那么为什么名字如此相似?这是典型的市场营销方面的成功，它的推广成功,也是借了Java的东风。当微软开始意识到Javascript在Web开发人员中流行起来时，微软还是一贯风格，建立了自己的脚本语言，JScript。
Javascript是一种基于对象(Object)和事件驱动(Event Driven)并具有安全性能的脚本语言。使用它的目的是与HTML超文本标记语言、Java脚本语言(Java小程序)一起实现在一个Web页面中链接多个对象，与Web客户交互作用。例如可以设置鼠标悬停效果，在客户端验证表单，创建定制的HTML页面，显示警告框，设置cookie等等。
网页中所有的对数据进行判断、操作以及向浏览者反馈信息的本地代码实现部分均是Javascript(当然也有其他的)，这样既可以使网页更具交互性，给用户提供更令人兴奋的体验，同时减轻了服务器负担。
JS的代码如下：
function jsHello(){
alert('Hello World！');
}123
当把以上代码应用于HTML代码，它会在你的HTML载入时，弹出一个内容为“Hello World!”的对话框。同样，它是通过嵌入或调入在标准的HTML语言中实现的，至于如何嵌入或调入不再赘述，理由上面提到了。
4. Xml可扩展标记语言 (Extensible MarkupLanguage)，是一套定义语义标记的规则，这些标记将文档分成许多部件并对这些部件加以标识。它也是元标记语言，即定义了用于定义其他与特定领域有关的、语义的、结构化的标记语言的句法语言。你可以把XML理解为一种数据库，例如rss就是xml的一种变体。
XML代码如下：
Hello bcdChina/bcd bcdUSA/bcd bcdUK/bcd /Hello 12345
XML的起因是，用户受到SGML(后面再说)复杂性的挫伤和HTML的不充分。相对HTML来说，XML更追求严谨性，如果说你在HTML代码中标签比较混乱，如未关闭等，或许浏览器会忽略这些错误;但同样的事情发生在XML中会给你带来大麻烦。
铺垫终于完了，在进入正题之前，建议大家对比着图来理解后边的内容，废话不多说，开始进入正题。
第二部分
这里的DOM指的是HTML DOM。HTML DOM是W3C的标准，同时它也是HTML的文档对象模型的缩写(the Document Object Model for HTML)。HTML DOM定义了用于HTML的一系列标准的对象，以及访问和处理HTML文档的标准方法。通过DOM，可以访问所有的HTML元素，连同它们所包含的文本和属性。其中的内容可以修改和删除，同时也可以创建新的元素。HTML DOM独立于平台和编程语言。它可被任何编程语言诸如Java、Javascript和VBScript所使用。HTML DOM就是HTML语言对外界开通的接口，以便其他语言能够访问或修改HTML内部的元素。
当js需要对html元素进行操作时，DOM是一个很必要的对象。
你便可以通过利用DOM对象构造如下代码并插入到HTML代码中的任何位置来实现。
script window.onload=function hello(){
document.getElementById("hello").innerHTML="Hello China!";
}
/script12345
当用CSS去修饰HTML中的元素，这一过程可以称为声明HTML元素样式的过程。
SGML标准通用标记语言(standardgeneralized markup language)。由于SGML的复杂，导致难以普及。SGML有非常强大的适应性，也正是因为同样的原因，导致在小型的应用中难以普及。HTML 和 XML同样衍生于SGML：XML可以被认为是SGML的一个子集，而HTML是SGML的一个应用。XML的产生就是为了简化SGML，以便用于更加通用的目的。比如语义Web，它已经应用于大量的场合，比较著名的有XHTML、RSS 、XML-RPC 和SOAP 。
XHTML是可扩展超文本标识语言(TheExtensible HyperText MarkupLanguage)。HTML是一种基本的Web网页设计语言，XHTML是一个基于XML的置标语言，看起来与HTML有些相象，只有一些小的但重要的区别，XHTML就是一个扮演着类似HTML的角色的XML，所以，本质上说，XHTML是一个过渡技术，结合了部分XML的强大功能及大多数HTML的简单特性。
简单的说，XHTML比HTML要严谨些，但又没像XML那么严重——譬如所有的XHTML标签以及属性必须要小写，属性性必须要加双引号(当然如今的浏览器不管是IE还是FF，对HTML和XHTML采取兼容措施，这也是XSS产生的根本原因)，而且也可以像XML一样自定义部分标签，因此有了极大的灵活性。
而且进入了XHTML时代，大家倡导的是CSS+DIV，这也是web2.0的基础。
DHTML只是一种制作网页的概念，实际上没有一个组织或机构推出过所谓的DHTML标准或技术规范之类的。DHTML不是一种技术、标准或规范，DHTML只是一种将目前已有的网页技术、语言标准整和运用，制作出能在下载后仍然能实时变换页面元素效果的网页的设计概念。DHTML就是动态的html，Dynamic HTML。传统的html页面是静态的，Dhtml就是在html页面上加入了javascript脚本，使其能根据用户的动作作出一定的响应，如鼠标移动到图片上，图片改变颜色，移动到导航栏，弹出一个动态菜单等等。
一般如：
Expression是微软为了使样式表能够在修饰HTML样式的同时执行javascript脚本而在IE浏览器中增加的一个功能，这样你可以做譬如：图片的自适应宽度，表格的隔行换色等等。
如：img{max-width:500px;width:expression(document.body.clientWidth 200 ? “200px”: “auto”);}
XMLHTTP最通用的定义为：XmlHttp是一套可以在Javascript、VbScript、Jscript等脚本语言中通过http协议传送或从接收XML及其他数据的一套API。XmlHttp最大的用处是可以更新网页的部分内容而不需要刷新整个页面。
来自MSDN的解释：XmlHttp提供客户端同http服务器通讯的协议。客户端可以通过XmlHttp对象向http服务器发送请求并使用微软XML文档对象模型Microsoft® XML Document Object Model (DOM)处理回应。
现在的绝对多数浏览器都增加了对XmlHttp的支持，IE中使用ActiveXObject方式创建XmlHttp对象，其他浏览器如：Firefox、Opera等通过window.XMLHttpRequest来创建XmlHttp对象。
一个简单的定义IE的XmlHttp的对象及应用的实例如下：
var XmlHttp=new ActiveXObject("Microsoft.XMLhttp");
XmlHttp.Open("get","url",true);
XmlHttp.send(null);
XmlHttp.onreadystatechange=function ServerProcess(){
if (XmlHttp.readystate==4 || XmlHttp.readystate=='complete')
{
alert(XmlHttp.responseText);
}
} 123456789
XSLT(eXtensibleStylesheet LanguageTransformation)最早设计XSLT的用意是帮助XML文档(document)转换为其它文档。但是随着发展，XSLT已不仅仅用于将XML转换为HTML或其它文本格式，更全面的定义应该是：XSLT是一种用来转换XML文档结构的语言。
XSL-FO：XSL在转换XML文档时分为明显的两个过程，第一转换文档结构;其次将文档格式化输出。这两步可以分离开来并单独处理，因此XSL在发展过程中逐渐分裂为XSLT(结构转换)和XSL-FO(formattingobjects)(格式化输出)两种分支语言，其中XSL-FO的作用就类似CSS在HTML中的作用。
AJAX：异步JavaScript和XML(AsynchronousJavaScript and XML)。
最后一个东东，它算得上是web2.0思想的心。AJAX=CSS+HTML+JS+XML+DOM+XSLT+XMLHTTP。是指一种创建交互式网页应用的网页开发技术。AJAX不是一种单一的新技术，而是有机地利用了一系列相关的技术。
在 2005年，Google 通过其 Google Suggest 使 AJAX 变得流行起来。
Google Suggest 使用 AJAX 创造出动态性极强的 web 界面：当您在谷歌的搜索框输入关键字时，Javascript会把这些字符发送到服务器，然后服务器会返回一个搜索建议的列表。
在AJAX中，XmlHttp用来在不改变页面的情况下传输数据，其中传输的数据即是XML，然后通过XSLT将其格式化，利用js通过dom对象将其显示到HTML中，同时利用CSS确定数据的显示及位置。
这项技术在网络上的应用无处不在，如你的微博，你的邮箱，你的QQ空间，再如搜索引擎，电子商务平台，网络地图等等
