本文目录一览：
xss攻击危害有哪些
、对于那些半年没有更新的小企业网站来说，发生XSS漏洞几乎没有什么用
2、但是在各类的社交平台，邮件系统，开源流行的Web应用，BBS，微博等场景中，造成的杀伤力却十分强大。
3、劫持用户cookie是最常见的跨站攻击形式，通过在网页中写入并执行脚本执行文件（多数情况下是JavaScript脚本代码），劫持用户浏览器，将用户当前使用的sessionID信息发送至攻击者控制的网站或服务器中。
4、又可以称为“框架钓鱼”。利用JS脚本的基本功能之一：操作网页中的DOM树结构和内容，在网页中通过JS脚本，生成虚假的页面，欺骗用户执行操作，而用户所有的输入内容都会被发送到攻击者的服务器上。
5、挂马（水坑攻击）
6、有局限性的键盘记录
概念
跨站脚本 ( Cross-Site Scriptin ) 简称xss，是由于Web应用程序对用户的输入过滤不足而产生的.攻击者利用网站漏洞把恶意的脚本代码(通常包括HTML代码和客户端 Javascript脚本)注入到网页之中，当其他用户浏览这些网页时，就会执行其中的恶意代码，对受害用户可能采取 Cookie资料窃取、会话劫持、钓鱼欺骗等各种攻击.
危害
1、网络钓鱼，包括盗取各类用户账号；
2、窃取用户cookies资料，从而获取用户隐私信息，或利用用户身份进一步对网站执行操作；
3、劫持用户(浏览器)会话，从而执行任意操作，例如进行非法转账、强制发表日志、发送电子邮件等；
4、强制弹出广告页面、刷流量等；
5、网页挂马，进行恶意操作，例如任意篡改页面信息、删除文章等；
6、进行大量的客户端攻击，如DDoS攻击；
7、获取客户端信息，例如用户的浏览历史、真实IP、开放端口等；
8、控制受害者机器向其他网站发起攻击；
9、结合其他漏洞，如CSRF漏洞，实施进一步作恶；
10、提升用户权限，包括进一步渗透网站；
11、传播跨站脚本蠕虫等；
xss漏洞类型有哪些？
大家好，大家经常听到XSS攻击这个词，那么XSS攻击到底是什么，以及如何防御XSS攻击大家清楚么？今天，天下数据就给大家讲一下：XSS攻击的定义、类型以及防御方法。
什么是XSS攻击？
XSS攻击全称跨站脚本攻击，是一种在web应用中的计算机安全漏洞，它允许恶意web用户将代码植入到提供给其它用户使用的页面中。
XSS攻击有哪几种类型？
常见的 XSS 攻击有三种：反射型XSS攻击、DOM-based 型XXS攻击以及存储型XSS攻击。
1.反射型XSS攻击
反射型 XSS 一般是攻击者通过特定手法（如电子邮件），诱使用户去访问一个包含恶意代码的 URL，当受害者点击这些专门设计的链接的时候，恶意代码会直接在受害者主机上的浏览器执行。反射型XSS通常出现在网站的搜索栏、用户登录口等地方，常用来窃取客户端 Cookies 或进行钓鱼欺骗。
2.存储型XSS攻击
也叫持久型XSS，主要将XSS代码提交存储在服务器端（数据库，内存，文件系统等），下次请求目标页面时不用再提交XSS代码。当目标用户访问该页面获取数据时，XSS代码会从服务器解析之后加载出来，返回到浏览器做正常的HTML和JS解析执行，XSS攻击就发生了。存储型 XSS 一般出现在网站留言、评论、博客日志等交互处，恶意脚本存储到客户端或者服务端的数据库中。
3.DOM-based 型XSS攻击
基于 DOM 的 XSS 攻击是指通过恶意脚本修改页面的 DOM 结构，是纯粹发生在客户端的攻击。DOM 型 XSS 攻击中，取出和执行恶意代码由浏览器端完成，属于前端 JavaScript 自身的安全漏洞。
如何防御XSS攻击？
1. 对输入内容的特定字符进行编码，例如表示 html标记的 等符号。
2. 对重要的 cookie设置 httpOnly, 防止客户端通过document.cookie读取 cookie，此 HTTP头由服务端设置。
3. 将不可信的值输出 URL参数之前，进行 URLEncode操作，而对于从 URL参数中获取值一定要进行格式检测（比如你需要的时URL，就判读是否满足URL格式）。
4. 不要使用 Eval来解析并运行不确定的数据或代码，对于 JSON解析请使用 JSON.parse() 方法。
5. 后端接口也应该要做到关键字符过滤的问题。
以上，是天下数据给大家分享的关于XSS攻击的全部内容，大家记得收藏方便以后查看哦。
如今，各种类型网络攻击日益频繁，除了XSS攻击之外，比较常见的网络攻击类型还包括DDoS攻击、CC攻击等，它们非常难以防御，除了需要做好日常网络安全防护之外，还需要接入高防服务，可以接入天下数据高防cdn，通过天下数据高防cdn隐藏源IP，对攻击流量进行清洗，保障企业网络及业务的正常运行。
Burp与Xray联动——多层代理流量测试
在平常的测试过程中，面对一个站点庞大的业务接口时，难免会忽略其中某些存在问题的接口，使用Burp与Xray联动可以将被动扫描和手工测试结合，达到一个很好的缺漏补差的效果，当然工具是为手工测试服务的，还是需要将侧重点放置到人工判断的角度，说白了与Xray联动就相当于找了个兜底的。这里使用 Burp 的原生功能与 xray 建立起一个多层代理，让流量从 Burp 转发到 xray 中。
（以下的测试环境都在本地windows10下进行）
首先 xray 建立起 webscan 的监听：
接着在Burp的Options-Upstream Proxy Servers中添加上游代理：
浏览器代理为设置Burp的监听代理端口，非上游代理（略）
可以看到经过Burp的流量也转发给了Xray。
下面是今天下午替甲方测试的结果：
某接口的post包内容如下：
正常的请求和响应：
过程略，构造payload：（这里是报错注）
返回结果如下：
然后这时候再回头看看我们的xray工作的怎么样了：
存在一部分误报的情况，不过总体来说很满意了，里面也有刚才我们手工测试出来的那个注入的接口。
意外收获几个xss也是蛮香的：
被动扫描和主动测试的结合（同时）的确可以给我们带来不错的结果，但是我们的重心主要还是需要放在对业务接口的熟悉和测试的深度上，而不是侧重于工具给我们反馈的结果，对工具扫描的结果也需要进一步人工的确认，还有一个待解决的问题是，目前没办法控制xray的fuzz强度，导致我们手工测试的过程会出现被防火墙检测到异常流量并且直接将我们的ip给ban了，其实是有点冤的哈哈，想到的解决方法是根据后台云服务器信息给xray挂上相应的代理，但这并不适用于所有的站点。
威兰达可以连接苹果手机吗
威兰达可以连接苹果手机。手机开热点，车机连接手机热点，用大屏自带导航，但地图就没那么详细，限速数据比较旧。不连热点也可以用，但应该是连热点才可以显示堵车信息。
威兰达连接不上苹果手机的方式：
1.换根新的数据线试试，有的数据线充电没问题，但传输数据会有问题。
2.手机兼容问题，这个就只能等固件升级了，或者提个bug，手机一般自带bug反馈的App。
3.换手机。
4.手机下载趣驾welinkXSS App，这个兼容性好点。威兰达支持这两种软件映射到大屏。
5. 还可以手机开热点，车机连接手机热点，用大屏自带导航，但地图就没那么详细，限速数据比较旧。不连热点也可以用，但应该是连热点才可以显示堵车信息。
外观上，威兰达设计保留大量的切削式多边形造型，在前脸设计上融入优雅精致的造型设计，上部格栅和两边纤长犀利的大灯融为一体，体现横向的拉伸感；下部格栅融入纺锥形格栅设计，配合两侧的雾灯格栅，展现出威兰达亦刚亦柔的外观设计理念。
（图/文/摄： 问答叫兽） 星瑞 理想ONE Model Y Model X 高合HiPhi X 零跑T03 @2019