(河西学院信息技术中心，甘肃张掖734000)

Web中XSS攻击检测与防范措施

王志春

(河西学院信息技术中心，甘肃张掖734000)

XSS(跨站脚本)攻击，是恶意用户利用验证上的漏洞将脚本命令嵌入到可以显示的数据中，使其在另一个用户浏览时可以执行这些脚本命令.针对XSS漏洞屡遭攻击这一现状，通过对XSS漏洞的详尽分析，列举了对XSS漏洞攻击的检测方式和方法.根据攻击的特点，为系统的安全提出了相应的防御措施.

XSS;Web;跨站脚本;检测;防范

Web2.0网络使用户与网站的互动更加方便和频繁，用户在论坛发表评论或留言，既是网站内容的浏览者，也是网站内容的制造者.但是，也带来了网络安全隐患，跨站脚本(Cross－Site Scripting，XSS)漏洞就是Web应用程序漏洞中较为突出的一类.XSS攻击的原理是，访问者利用Web应用程序的漏洞，通过网页的输入框上传恶意的脚本代码，通常是JavaScript脚本片段，而这些恶意输入在提交后，重新读回客户端时会嵌入远程Web页面，当用户对此站点进行再次访问时，该用户的浏览器就会自动加载并解释执行这些恶意的脚本.借助于这种巧妙注入恶意的指令码到其它网域的服务网页的方法，攻击者可得到了更高的特权，窃取机密的网页内容、会谈的Cookie、以及许多其它的对象.

1 漏洞分类

根据漏洞形成的原因，跨站脚本漏洞大致可以分为以下3类:反射式跨站脚本漏洞、储存式跨站脚本漏洞和基于DOM的跨站点脚本漏洞.

1.1 反射式跨站脚本漏洞(Reflected XSS)

反射式跨站脚本是非持久性跨站脚本……