本文目录一览：
点击劫持是什么意思？
点击劫持-主要特征点击劫持1、点击劫持是一种恶意攻击技术，用于跟踪网络用户，获取其私密信息或者通过让用户点击看似正常的网页来远程控制其电脑。很多浏览器和操作平台都有这样的漏洞。 2、点击劫持技术可以用嵌入代码或者文本的形式出现，在用户毫不知情的情况下完成攻击，比如点击一个表面显示是播放某个视频的按钮，而实际上完成的操作却是将用户的社交网站个人信息改为公开状态。 3、点击劫持这个词首次出现在2008年，是由互联网安全专家罗伯特?汉森和耶利米?
什么是xss攻击?
一、什么是跨站脚本攻击
跨站脚本攻击（Cross Site Scripting）缩写为CSS，但这会与层叠样式表（Cascading Style Sheets，CSS）的缩写混淆。通常将跨站脚本攻击缩写为XSS。
跨站脚本攻击（XSS），是最普遍的Web应用安全漏洞。这类漏洞能够使得攻击者嵌入恶意脚本代码到正常用户会访问到的页面中，当正常用户访问该页面时，则可导致嵌入的恶意脚本代码的执行，从而达到恶意攻击用户的目的。
二、跨站脚本攻击的种类
从攻击代码的工作方式可以分为三个类型：
1、持久型跨站：最直接的危害类型，跨站代码存储在服务器（数据库）。
2、非持久型跨站：反射型跨站脚本漏洞，最普遍的类型。用户访问服务器-跨站链接-返回跨站代码。
3、DOM跨站（DOM XSS）：DOM（document object model文档对象模型），客户端脚本处理逻辑导致的安全问题。
三、跨站脚本攻击的手段和目的
常用的XSS攻击手段和目的有：
1、盗用cookie，获取敏感信息。
2、利用植入Flash，通过crossdomain权限设置进一步获取更高权限；或者利用Java等得到类似的操作。
3、利用iframe、frame、XMLHttpRequest或上述Flash等方式，以（被攻击）用户的身份执行一些管理动作，或执行一些一般的如发微博、加好友、发私信等操作。
4、利用可被攻击的域受到其他域信任的特点，以受信任来源的身份请求一些平时不允许的操作，如进行不当的投票活动。
5、在访问量极大的一些页面上的XSS可以攻击一些小型网站，实现DDoS攻击的效果。
四、跨站脚本攻击的防御
XSS攻击主要是由程序漏洞造成的，要完全防止XSS安全漏洞主要依靠程序员较高的编程能力和安全意识，当然安全的软件开发流程及其他一些编程安全原则也可以大大减少XSS安全漏洞的发生。这些防范XSS漏洞原则包括：
1、不信任用户提交的任何内容，对所有用户提交内容进行可靠的输入验证，包括对URL、查询关键字、HTTP头、REFER、POST数据等，仅接受指定长度范围内、采用适当格式、采用所预期的字符的内容提交，对其他的一律过滤。尽量采用POST而非GET提交表单；对“”，“”，“；”，“””等字符做过滤；任何内容输出到页面之前都必须加以en-code，避免不小心把htmltag显示出来。
2、实现Session 标记（session tokens）、CAPTCHA（验证码）系统或者HTTP引用头检查，以防功能被第三方网站所执行，对于用户提交信息的中的img等link，检查是否有重定向回本站、不是真的图片等可疑操作。
3、cookie 防盗。避免直接在cookie中泄露用户隐私，例如email、密码，等等；通过使cookie和系统IP绑定来降低cookie泄露后的危险。这样攻击者得到的cookie没有实际价值，很难拿来直接进行重放攻击。
4、确认接收的内容被妥善地规范化，仅包含最小的、安全的Tag（没有JavaScript），去掉任何对远程内容的引用（尤其是样式表和JavaScript），使用HTTPonly的cookie。
如何关闭跨站点脚本 (XSS) 筛选器
这个错误是由于 IE8 的跨站脚本(Cross-site scripting, XSS)防护阻止了跨站发送的请求。
点击 IE8 的“工具”-“Internet 选项”，进入“安全”选项卡，打开“Internet”下方的“自定义级别”，在“安全设置”对话框中找到“启用 XSS 筛选器”，改为“禁用”即可。
[技术分享]点击劫持（clickjacking）是什么？
下面我们在很多可能的场景中举一个例子：到网站的一名访客认为他正在点击关闭窗口的按键，相反地，点击“X”键的行为促使电脑下载木马（Trojan horse）、转移银行账户里的我或者打开电脑的内置话筒。这个托管网站可能是被劫持的合法网站或某些知名网站的盗版。攻击者通过链接或邮件信息骗取用户来访问该网站。 研究人员Jeremiah Grossman和Robert Hansen发现了这个漏洞。他们是这么描述这件事的： 试想下那些能让你进入浏览器墙、银行电汇、推荐按键、CPC广告横幅、Netflix队列的所有网站的所有按键，不管是内部的还是外部的，这个清单几乎是无限长的，且相对来说这些例子都是无害的。下一步，考虑如果攻击可以无形地隐匿在用户点击的按键下，所以当他们点击他们看到的东西时，实际上他们已经点击了攻击者想让他们点的东西。如果说你有一个家用式无线路由器，那么你就有了通过认证的浏览网站优先权。恶意代码可能在你要点击的内容中置入一个标签，在一个简单按键中设计一个路由命令，如删除所有防火墙规则。 据说它由浏览器软件中的组成缺陷引起并会影响IE、Firefox、Safari和Opera。事实上，只有Lynx一类的非GUI浏览器受到保护，仅仅是因为这些界面中没有东西可点击。 根据Hansen所说，点击劫持（clickjacking）有多种变体：“其中有些需要跨域访问，有些不需要。有些在一个页面上覆盖整个页面，有些用内置页框来让你点击一点。有些需要Java脚本语言（JavaScript），有些不需要。” Facebook是常常发生点击支持（clickjacking）的场所。这里举一个更新状态的例子：“我的天，这家伙在对他前女友有复仇心时就有点过了。”用户点击的这个链接用仿造的CAPTCHA呈现，它实际上链到Facebook上的“喜欢”和“分享”按键。当用户回应时，这个伪造的状态更新键将内容提交到他的Facebook页面，同时还发布他喜欢这个视频。在Facebook上，大部分点击劫持应用都是为了收集用户信息和传播垃圾信息，尽管也有一些钓鱼攻击报道出来。 Ken Harthun在他的Security Corner博客中建议，“针对现在的情况，不管你现在用的那种浏览器，每个人都应该马上让脚本和内置页框失效。
XSS是什么
1、XSS是跨站脚本攻击(Cross Site Scripting)，为不和层叠样式表(Cascading Style Sheets, CSS)的缩写混淆，故将跨站脚本攻击缩写为XSS。
2、恶意攻击者往Web页面里插入恶意html代码，当用户浏览该页之时，嵌入其中Web里面的html代码会被执行，从而达到恶意攻击用户的特殊目的。
3、XSS攻击分成两类，一类是来自内部的攻击，主要指的是利用程序自身的漏洞，构造跨站语句，如:dvbbs的showerror.asp存在的跨站漏洞。
4、另一类则是来自外部的攻击，主要指的自己构造XSS跨站漏洞网页或者寻找非目标机以外的有跨站漏洞的网页。如当要渗透一个站点，自己构造一个有跨站漏洞的网页，然后构造跨站语句，通过结合其它技术，如社会工程学等，欺骗目标服务器的管理员打开。