前端安全：简单来认识XSS-一一网

这是我参与更文挑战的第3天，活动详情查看：更文挑战

昨天刚好简单认识了CSRF(链接在这里，欢迎拜访)，今天刚好趁热打铁，再次重温下XSS,话不多说，现在开始。

XSS简介

跨站脚本攻击,英文全称是 Cross Site Scripting, 本来缩写是CSS, 但是为了和层叠样式表(Cascading Style Sheet, CSS)有所区别,所以在安全领域叫做”XSS”.

XSS攻击通常指的是攻击者通过利用网页开发时留下的漏洞，往Web页面里插入恶意Script代码，当用户浏览时，嵌入其中Web里面的Script代码会被执行，从而达到恶意攻击用户的目的.

简单举个例子：
一个网站有个评论输入框，评论的时候如果评论了JavaScript代码，比如<script>alert('我是攻击者的代码')</script>，如果没有做xss的过滤，则这段代码会被插入到html里面并执行，最终会弹出 ‘我是攻击者的代码’。

下面这段代码可以模拟XSS：

<!DOCTYPE html>
<html lang="zh-cn">

<head>
  <meta charset="UTF-8">
  <meta http-equiv="X-UA-Compatible" content="IE=edge">
  <meta name="viewport" content="width=device-width, initial-scale=1.0">
  <title>Document</title>
</head>

<body>
  <script>
    function testCode() {
      const script = document.createElement('script')
      script.innerHTML = 'alert("我是攻击者的代码")' 
      document.body.appendChild(script)
    }
    testCode()
  </script>
</body>

</html>
复制代码