冯 倩

（中南民族大学，计算机科学学院，湖北 武汉 430074）

随着互联网技术的飞速发展，web应用越来越流行，现如今web应用已进入我们生活的方方面面。我们已经习惯网上购物，逛论坛，刷微博，发帖等web应用。然而web安全问题不断出现，针对web应用的网络攻击时常发生，因此web应用的安全性也受到更多关注。根据最新的OWASP（Open Web Application Security Project）统计，XSS漏洞依然是web应用漏洞的第三名[1]。XSS攻击是一种经常出现在Web应用程序中的计算机安全漏洞，由于web应用程序对用户的输入过滤不足而产生[2]。攻击者利用网站漏洞把恶意的脚本代码注入到网页之中，当用户浏览这些网页时就会执行其中的恶意代码，对受害用户造成 Cookie资料盗窃[3]、回话劫持[4]、钓鱼欺骗[5]、网页挂马[6]等各种攻击。XSS攻击无论对网站还是对用户造成的危害甚大，因此研究XSS攻击防御显得尤为重要，它能源头上防止XSS攻击。

XSS漏洞主要分为三类：反射性 XSS（reflected- XSS），存储型XSS(stored-XSS，DOM型XSS(DOM- based XSS)[7]。反射型XSS漏洞是用户提交的数据立即被服务器处理并返回一个响应页面，若用户提交的数据没有经过有效地过滤就会产生反射型 XSS漏洞[8]；存储型XSS漏洞是服务器端没有对用户提交的数据没做有效的过滤，并将数据存入数据库，当用户浏览网页时，服务器从数据库中加载数据并在网页中显示，从而形成存储型XSS漏洞[9]；DOM型XSS漏洞是浏览器在接受到HTML代码后，由浏览器向网页中嵌入恶意脚本代并执行产生[10]。存储型XSS漏洞是对web服务器进行攻击且不易发现，造成的危害甚大，然而当前没有一个较好的检测工具。……