本文目录一览：
- 1、xss攻击的危害有哪些？
- 2、XSS攻击原理是什么
- 3、红颜一去人自愁， 孤雁南飞又一秋。 帮忙找到作者~（五倍）加分 不是葬花吟 别骗我 谢谢
- 4、lt;script>alert每个字段都要做XSS过滤吗
- 5、xss注入漏洞产生的原因？xss注入过程步骤是什么？防范xss注入的方法有哪些
xss攻击的危害有哪些？
跨站脚本 ( Cross-Site Scriptin ) 简称xss，是由于Web应用程序对用户的输入过滤不足而产生的.攻击者利用网站漏洞把恶意的脚本代码(通常包括HTML代码和客户端 Javascript脚本)注入到网页之中，当其他用户浏览这些网页时，就会执行其中的恶意代码，对受害用户可能采取 Cookie资料窃取、会话劫持、钓鱼欺骗等各种攻击。
其危害有：
1、网络钓鱼，包括盗取各类用户账号；
2、窃取用户cookies资料，从而获取用户隐私信息，或利用用户身份进一步对网站执行操作；
3、劫持用户(浏览器)会话，从而执行任意操作，例如进行非法转账、强制发表日志、发送电子邮件等；
4、强制弹出广告页面、刷流量等；
5、网页挂马，进行恶意操作，例如任意篡改页面信息、删除文章等；
6、进行大量的客户端攻击，如DDoS攻击；
7、获取客户端信息，例如用户的浏览历史、真实IP、开放端口等；
8、控制受害者机器向其他网站发起攻击；
9、结合其他漏洞，如CSRF漏洞，进一步入侵和破坏系统；
10、提升用户权限，包括进一步渗透网站；
11、传播跨站脚本蠕虫等；
XSS攻击原理是什么
Xss(cross-site scripting)攻击指的是攻击者往Web页面里插入恶意html标签或者javascript代码，当用户浏览该页或者进行某些操作时，攻击者利用用户对原网站的信任，诱骗用户或浏览器执行一些不安全的操作或者向其它网站提交用户的私密信息。
比如：攻击者在论坛中放一个看似安全的链接，骗取用户点击后，窃取cookie中的用户私密信息；或者攻击者在论坛中加一个恶意表单，当用户提交表单的时候，却把信息传送到攻击者的服务器中，而不是用户原本以为的信任站点。
诸如此类，唯一能完全杜绝xss攻击的方法，就是禁用script，img等，显然这是不靠谱的，用户需要丰富的页面内容；当然我们可以用一些方法预防xss攻击，尽量减少xss造成的危害。
XSS攻击的危害包括
盗取各类用户帐号，如机器登录帐号、用户网银帐号、各类管理员帐号
控制企业数据，包括读取、篡改、添加、删除企业敏感数据的能力
盗窃企业重要的具有商业价值的资料
非法转账
强制发送电子邮件
网站挂马
控制受害者机器向其它网站发起攻击
红颜一去人自愁， 孤雁南飞又一秋。 帮忙找到作者~（五倍）加分 不是葬花吟 别骗我 谢谢
花谢花飞花满天，红消香断有谁怜？
游丝软系飘春榭，落絮轻沾扑绣帘。
闺中女儿惜春暮，愁绪满怀无处诉。
手把花锄出绣帘，忍踏落花来复去。
柳丝榆荚自芳菲，不管桃飘与李飞。
桃李明年能再发，明岁闺中知有谁？
三月香巢已垒成，梁间燕子太无情！
明年花发虽可啄，却不道人去梁空巢也倾。
一年三百六十日，风刀霜剑严相逼。
明媚鲜妍能几时？一朝飘泊难寻觅。
花开易见落难寻，阶前闷杀葬花人。
独倚花锄泪暗洒，洒上空枝见血痕。
杜鹃无语正黄昏，荷锄归去掩重门。
青灯照壁人初睡，冷雨敲门被未温。
怪奴底事倍伤神，半为怜春半恼春。
怜春忽至恼忽去，至又无言去不闻。
昨宵庭外悲歌发，知是花魂与鸟魂？
花魂鸟魂总难留，鸟自无言花自羞。
愿奴胁下生双翼，随花飞到天尽头。
天尽头，何处有香丘？
未若锦囊收艳骨，一抔净土掩风流。
质本洁来还洁去，强于污淖陷渠沟。
尔今死去侬收葬，未卜侬身何日丧？
侬今葬花人笑痴，他年葬侬知是谁？
试看春残花渐落，便是红颜老死时。
一朝春尽红颜老，花落人亡两不知！
桃李明年能再发，明年闺中知有谁三月香巢已垒成，梁间燕子太无情！？ 这二句话在这诗的第六行和第七行。
红颜一去人自愁，孤雁南飞又一秋。 这句话也是从哪里杜撰来的吧，不用想太多了，你女朋友只是像黛玉那样多愁善感而已。
lt;script>alert每个字段都要做XSS过滤吗
一般的网站会把用户写入的内容中包含 ' ""这类的特殊符号格式化掉(安全过滤), 如开头的特殊字符标识.
xss注入漏洞产生的原因？xss注入过程步骤是什么？防范xss注入的方法有哪些
对于的用户输入中出现XSS漏洞的问题，主要是由于开发人员对XSS了解不足，安全的意识不够造成的。现在让我们来普及一下XSS的一些常识，以后在开发的时候，每当有用户输入的内容时，都要加倍小心。请记住两条原则：过滤输入和转义输出。
一、什么是XSS
XSS又叫CSS (Cross Site Script) ，跨站脚本攻击。它指的是恶意攻击者往Web页面里插入恶意html代码，当用户浏览该页之时，嵌入其中Web里面的html代码会被执行，从而达到恶意的特殊目的。XSS属于被动式的攻击，因为其被动且不好利用，所以许多人常呼略其危害性。
在WEB2.0时代，强调的是互动，使得用户输入信息的机会大增，在这个情况下，我们作为开发者，在开发的时候，要提高警惕。
二、XSS攻击的主要途径
XSS攻击方法只是利用HTML的属性，作各种的尝试，找出注入的方法。现在对三种主要方式进行分析。
第一种：对普通的用户输入，页面原样内容输出。
打开(限公司IP)，输 入：scriptalert(‘xss’)/script， JS脚本顺利执行。当攻击者找到这种方法后，就可以传播这种链接格式的链接 （）如：http: //go.ent.163.com/goproducttest/test.jsp?key=scriptalert(‘xss’) lt;/script，并对JSCODE做适当伪装，如：
%74%3e%61%6c%65%72%74%28%27%78%73%73%27%29%3c%2f%73%63%72%69%70%74%3e,当其 它用户当点此链接的时候，JS就运行了，造成的后果会很严重，如跳去一个有木马的页面、取得登陆用户的COOKIE等。
第二种：在代码区里有用户输入的内容
原则就是，代码区中，绝对不应含有用户输入的东西。
第三种：允许用户输入HTML标签的页面。
用户可以提交一些自定义的HTML代码，这种情况是最危险的。因为，IE浏览器默认采用的是UNICODE编码，HTML编码可以用ASCII方式来写，又可以使用”/”连接16进制字符串来写，使得过滤变得异常复杂，如下面的四个例子，都可以在IE中运行。
1，直接使用JS脚本。
img src=”javascript:alert(‘xss’)” /
2，对JS脚本进行转码。
img src=”javascript:alert(‘xss’)” /
3，利用标签的触发条件插入代码并进行转码。
img onerror=”alert(‘xss’)” /
4，使用16进制来写(可以在傲游中运行)
img STYLE=”background-image: /75/72/6c/28/6a/61/76/61/73/63/72/69/70/74/3a/61/6c/65/72/74/28/27/58/53/53/27/29/29″
以上写法等于img STYLE=”background-image: url(javascript:alert(‘XSS’))”
三、XSS攻击解决办法
请记住两条原则：过滤输入和转义输出。
具体执行的方式有以下几点：
第一、在输入方面对所有用户提交内容进行可靠的输入验证，提交内容包括URL、查询关键字、http头、post数据等
第二、在输出方面，在用户输内容中使用XMP标签。标签内的内容不会解释，直接显示。
第三、严格执行字符输入字数控制。
四、在脚本执行区中，应绝无用户输入。