跨站脚本

① 跨站脚本攻击有哪些类型

1、持久型跨站：最直接的危害类型，跨站代码存储在服务器（数据库）。

2、非持久型跨站：反射型跨站脚本漏洞，最普遍的类型。用户访问服务器-跨站链接-返回跨站代码。

3、DOM跨站（DOM XSS）:DOM(document object model文档对象模型)，客户端脚本处理逻辑导致的安全问题。

(1)跨站脚本扩展阅读：

跨站脚本攻击产生的原因是网站过于相信用户的输入，那么解决的办法也很直接，就是从根本上不相信用户的任何输入。一个安全的网站应当对任何用户的任何输入都要进行检查，特别是对用户提交到服务器中保存的数据，更要做筛选。

这种攻击与反射型攻击不同的是，它会把自己的攻击代码保存在网站的服务器上，这样，任何访问了这个页面的用户，都会受到这个攻击。

② 如何让浏览器允许网站运行跨站脚本

1、工具——Internet选项——高级——在“允许活动内容在计算机上运行”
2、打开Internet Explorer工具栏的Internet选项，打开安全选项，点击自定义级别，找到”启用XSS筛选器”，选择禁用
3、清除IE浏览器的缓存,点IE上的工具——选择下面Internet选项，点Internet删除文件(记得勾上删除所有脱机内容)，确定后再重新打开IE浏览器试试,同时请确认使用的是IE6.0及以上版本。
4、网页上清缓存,在网页上选择工具->Interner选项->删除Cookies和删除文件,确定。
5、点击IE浏览器中的“工具”，选择“internet选项”，进入“安全”页面，点击“自定义级别”，将安全设置设为“低”。
6、清空IE浏览器的cookies文件，在IE浏览器中设置“禁止自动脚本更新“。
脚本script是使用一种特定的描述性语言，依据一定的格式编写的可执行文件，又称作宏或批处理文件。脚本通常可以由应用程序临时调用并执行。各类脚本目前被广泛地应用于网页设计中，脚本不仅可以减小网页的规模和提高网页浏览速度，而且可以丰富网页的表现，如动画、声音等。

③ 跨站脚本攻击的危害

为了搜集用户信息，攻击者通常会在有漏洞的程序中插入 javaScript、VBScript、 ActiveX或Flash以欺骗用户（详见下文）。一旦得手，他们可以盗取用户帐户，修改用户设置，盗取/污染cookie，做虚假广告等。每天都有大量的XSS攻击的恶意代码出现。 Brett Moore的下面这篇文章详细地阐述了“拒绝服务攻击”以及用户仅仅阅读一篇文章就会受到的“自动攻击”。 1.HTML注入。所有HTML注入范例只是注入一个JavaScript弹出式的警告框：alert(1)。
2.做坏事。如果您觉得警告框还不够刺激，当受害者点击了一个被注入了HTML代码的页面链接时攻击者能作的各种的恶意事情。
3.诱捕受害者。 “微博病毒”攻击事件
回顾：
2011年6月28日晚，新浪微博出现了一次比较大的XSS攻击事件。大量用户自动发送诸如：“郭美美事件的一些未注意到的细节”，“建党大业中穿帮的地方”，“让女人心动的100句诗歌”，“3D肉团团高清普通话版种子”，“这是传说中的神仙眷侣啊”，“惊爆!范冰冰艳照真流出了”等等微博和私信，并自动关注一位名为hellosamy的用户。
事件的经过线索如下：
20:14，开始有大量带V的认证用户中招转发蠕虫
20:30，某网站中的病毒页面无法访问
20:32，新浪微博中hellosamy用户无法访问
21:02，新浪漏洞修补完毕 随着AJAX（Asynchronous JavaScript and XML，异步JavaScript和XML）技术的普遍应用，XSS的攻击危害将被放大。使用AJAX的最大优点，就是可以不用更新整个页面来维护数据，Web应用可以更迅速地响应用户请求。AJAX会处理来自Web服务器及源自第三方的丰富信息，这对XSS攻击提供了良好的机会。AJAX应用架构会泄漏更多应用的细节，如函数和变量名称、函数参数及返回类型、数据类型及有效范围等。AJAX应用架构还有着较传统架构更多的应用输入，这就增加了可被攻击的点。

④ 如何允许跨站点脚本运行

你提的问题有些模糊，不知道你说的跨站脚本是不是指的黑客攻击，如果是，那你还需要再进修一下，如果不是，你最好补充一下应用场景。

⑤ XSS跨站脚本漏洞怎样修复

对网站上的XSS跨站漏洞进行修复，对get,post,cookies进行安全效验，对XSS跨站攻击代码进行拦截，或者是对网站安全防护参数进行重新设置，使他符合当时的网站环境。如果不懂如何修复网站漏洞，也可以找专业的网站安全公司来处理，国内也就Sinesafe和绿盟、启明星辰等安全公司比较专业.

⑥ IE浏览器阻止跨站脚本什么原因,怎么解决

登陆protal后，点击查看报表，这是protal会发送转到cognos的请求，如果使用的IE8，则这个请求会被拦截，提示“Internet Explorer 已对此页面进行了修改，以帮助阻止跨站脚本。单击此处，获取详细信息...”。这个错误是由于 IE8 的跨站脚本(Cross-site scripting, XSS)防护阻止了跨站发送的请求。点击 IE8 的“工具”-“Internet 选项”，进入“安全”选项卡，打开“Internet”下方的“自定义级别”，在“安全设置”对话框中找到“启用 XSS 筛选器”，改为“禁用”即可

⑦ 如何进行跨站脚本攻击

你好~
XSS漏洞产生的原因：

跨站点脚本的主要原因是程序猿对用户的信任。开发人员轻松地认为用户永远不会试图执行什么出格的事情,所以他们创建应用程序,却没有使用任何额外的代码来过滤用户输入以阻止任何恶意活动。另一个原因是,这种攻击有许多变体，用制造出一种行之有效的XSS过滤器是一件比较困难的事情。
但是这只是相对的，对用户输入数据的”编码”和”过滤”在任何时候都是很重要的，我们必须采取一些针对性的手段对其进行防御。

如何创造一个良好的XSS过滤器来阻止大多数XSS攻击代码

1 .需要重点”编码”和”过滤”的对象
The URL
HTTP referrer objects
GET parameters from a form
POST parameters from a form
Window.location
Document.referrer
document.location
document.URL
document.URLUnencoded
cookie data
headers data
database data

防御XSS有一个原则:
以当前的应用系统为中心，所有的进入应用系统的数据都看成是输入数据(包括从FORM表单或者从数据库获取到的数据)，所有从当前应用系统流出的数据都看作是输出(包括输出到用户浏览器或向数据库写入数据)
对输入的数据进行”过滤”，对输出数据进行”编码”。这里的”编码”也要注意，必须针对数据具体的上下文语境进行针对性的编码。例如数据是输出到HTML中的那就要进行HtmlEncode，如果数据是输出到javascript代码中进行拼接的，那就要进行javascriptEncode。
如果不搞清楚数据具体输出的语境，就有可能因为HtmlParser()和javascriptParser()两种解析引擎的执行先后问题导致看似严密的”编码”形同虚设。

⑧ jquery跨站脚本漏洞是什么意思

如果你是要根据后台返回的值,进行判断,然后再展现最后的结果
如果是这样可以做的,

Js代码
{name:'ITEM_NAME',index:'ITEM_NAME',sortable:true,formatter: cus},
function cus(cellvalue, options, rowObject){
return cellvalue;
}
你可以在这个方法里随便你怎么弄，

⑨ 跨站脚本攻击是什么意思

XSS，跨站脚本攻击，Cross-Site
Scripting，为了和前端的CSS避免重名，简称为XSS，是指通过技术手段，向正常用户请求的HTML页面中插入恶意脚本，执行。
这种攻击主要是用于信息窃取和破坏等目的。在防范XSS上，主要就是通过对用户输入的数据做过滤或者或者转义，可以使用框架提供的工具类HTML
Util，另外前端在浏览器展示数据的时候，要使用安全的API展示数据。比如使用inner text而不是inner HTML。