3跨站脚本攻击XSS
XSS分类：
1、反射型XSS：诱使用户点击恶意链接，从而反射用户数据
2、存储型XSS：将用户输入的数据存储于服务器端
3、DOM Based XSS：修改页面DOM节点形成的XSS
在文本框中构造数据闭合引号以改变页面代码，插入onclick事件执行脚本
Coockie劫持攻击：读取Coockie登录用户账户
对抗Coockie劫持攻击：给Coockie植入HttpOnly标识、将Coockie绑定客户端IP
几种XSS攻击方式：
1、构造GET与POST请求操纵用户浏览器（没有很明白）
2、XSS钓鱼：如：利用JS在当前页面上画出伪造的登录框以获取用户密码
3、识别用户浏览器：读取浏览器的UserAgent对象、识别不同浏览器及不同浏览器版本之间的差异（获取后攻击来做什么？）
4、识别用户软件、软件泄露（获取后攻击来做什么？）
5、通过CSS发现用户访问记录
6、获取用户本地IP（获取后攻击来做什么？）
XSS Worm蠕虫：Samy Worm、百度空间蠕虫、、、
XSS攻击技巧：
1、利用字符编码
2、绕过长度限制：利用事件、利用注释符（如利用两个文本框，在输入内容中加入注释符）
3、利用标签劫持相对路径
4、赋值给window.name对象，实现跨域、跨页面传数据
Flash XSS：上述都是基于HTML的，Flash也能造成XSS攻击
对抗Flash XSS：
1、 实现XSS Filter时，禁用、等标签
2、视频文件要求转码为.flv文件，是静态文件，不会产生隐患
3、带动态脚本的Flash，限制配置参数
XSS防御：
