2.1.2 XSS攻击危害及分类

XSS攻击的主要危害如下。

1）盗取各类用户账号。

2）控制企业数据，包括读取、篡改、添加、删除企业敏感数据。

3）盗窃企业重要的具有商业价值的资料。

4）非法转账。

5）强制发送电子邮件。

6）网站挂马。

7）控制受害者机器向其他网站发起攻击。

XSS攻击常分为三类。

（1）反射型

用户将带有XSS攻击的代码作为用户输入传给服务器端，服务器端没有处理用户输入直接返回给前端。

（2）DOM-based型

DOM-based XSS是由于浏览器解析机制导致的漏洞，服务器不参与。因为不需要服务器传递数据，XSS代码会从URL中注入到页面中，利用浏览器解析Script、标签的属性和触发事件导致XSS。

（3）持久型

用户含有XSS代码的输入被存储到数据库或者存储文件上。这样当其他用户访问这个页面时，就会受到XSS攻击。

总结如下：

反射型XSS是将XSS代码放在URL中，将参数提交到服务器。服务器解析后响应，在响应结果中存在XSS代码，最终通过浏览器解析执行。

持久型XSS是将XSS代码存储到服务器端（数据库、内存、文件系统等），在下次请求同一个页面时就不需要带上XSS代码了，而是从服务器读取。

DOM XSS的发生主要是在JS中使用eval造成的，所以应当避免使用eval语句。eval（）是程序语言中的函数、功能是获取返回值。

XSS攻击常分为三类：反射型、DOM-based型、持久型。