钱 丽，张 涛

(1．安徽新华学院;2．中国科学技术大学)

0 引言

XSS是跨站脚本攻击，又称CSS，全称Cross SiteScript，它是Web程序中常见的漏洞，属于被动式且用于客户端的攻击方式．其原理是攻击者向有XSS漏洞的网站中输入恶意的HTML代码，当其它用户浏览该网站时，这段HTML代码会自动执行，从而达到攻击的目的［1］．XSS攻击有内部和外部攻击两类，内部攻击主要利用程序自身漏洞构造跨站语句;外部攻击主要是构造XSS跨站漏洞网页，或者寻找非目标机以外的有跨站漏洞的网页［2-4］．攻击者利用XSS漏洞劫持Cookie、获取用户系统信息、破坏页面结构、重定向到其它网站等［5］，XSS攻击对web网站产生很大的危害．

目前针对XSS漏洞的研究主要集中于检测某类安全漏洞方法，例如网络爬虫的搜索技术、错误数据生成技术、漏洞识别技术等多种技术，这些方法容易造成Web应用程序安全检测的瓶颈．还有设定在服务器端进行XSS攻击检测的算法研究，这些算法存在应用性不强、检测率不高的缺陷［6-10］．该研究针对Web应用中XSS漏洞的各种攻击，提出了XSS漏洞检测和防御方法．该方法在Web安全漏洞检测过程中可有效识别和防范XSS漏洞攻击，实验结果证明，该防御方法具有较高的应用性和推广性．

1 XSS漏洞攻击类型

1．1 反射型XSS漏洞攻击

目前有近75%的漏洞属于反射型XSS漏洞攻击，由于利用这种漏洞需要设计一个包含嵌入式JavaScript代码的请求，随后这些代码又被反射到任何提出请求的用户，因而它被称作反射型XSS［11］．由于此种类型的攻击代码存在……