什麼是跨站腳本？

網站中最常見的一類漏洞稱為“跨站點腳本”或“XSS”。XSS 漏洞是用戶可能導致 JavaScript 執行的地方。XSS 漏洞有許多不同的變體，具有不同的嚴重程度。

攻擊者能夠在其他用戶的會話中執行 JavaScript 的問題在於，攻擊者可以對受害者看到的網站進行任何操作。這包括將受害者重定向到外部網站、竊取身份驗證令牌和監控付款詳細信息。

XSS 漏洞最嚴重的形式是“存儲”或“持久性”跨站腳本，攻擊者可以在這種情況下製作 XSS 負載然後提交，因此將其保存在數據庫中。通過保存在數據庫中的 XSS 漏洞利用，它可能會在很長一段時間內影響其他用戶。

跨站腳本的另一種形式是“反射”，這種類型不會在任何時候保存，而是包含在瀏覽器中。通常，這種類型的 XSS 是網絡釣魚攻擊的一部分，攻擊者試圖誘騙受害者點擊惡意鏈接。

通常，大多數 XSS 攻擊都會在某個時候將有效負載發送到服務器，但有些攻擊純粹是客戶端，從不發送到服務器，而只會影響客戶端 JavaScript。這稱為基於 DOM 的 XSS，因為它保留在 JavaScript 文檔對像模型或 DOM 中。這種類型的漏洞特別難以識別和解決，因為服務器永遠不會看到這些漏洞，因此無法記錄。

從歷史上看，針對 XSS 漏洞的預防技術是過濾所有用戶提交的數據，使用阻止列表拒絕任何在 JavaScript 中包含有意義字符或單詞的消息。這往往會導致為過濾器尋找旁路的軍備競賽，同時也阻止了一些合法的用戶提交。正確的解決方案是使用 HTML 實體對用戶提交的數據進行編碼。啟用 HTML 實體模塊後，字符會自動編碼為瀏覽器知道將它們顯示為正確符號但不將它們視為代碼的格式。