跨站脚本（XSS）攻击是目前最主要的攻击方式之一。它利用了网站的漏洞，使用浏览器窃取cookie或进行金融交易。跨站脚本漏洞更为常见，需要组织部署详细的安全开发生命周期包括威胁建模、扫描工具和大量的安全意识，以达到最佳的XSS防范。本文介绍如何跨站点脚本攻击的实施提出建议，对如何保护企业的Web应用攻击。

跨站点脚本：XSS攻击是如何实现的

跨站脚本（XSS）允许攻击者发送恶意代码在网络服务器漏洞攻击其他用户。攻击者利用跨站脚本（XSS）攻击到那些看似可信的链接注入恶意代码，当用户点击了链接，嵌入式程序将提交和在用户的计算机上执行，这将使黑客访问权限，窃取敏感数据，攻击者利用XSS攻击漏洞的受害者的机器上，而不是攻击系统本身的恶意代码传播。

攻击者可以通过Web表修改通过用户输入数据返回错误消息的Web表来控制HTML代码。黑客可以将代码插入垃圾信息链接或使用欺骗性邮件诱使用户信任他们的身份。

例如，攻击者可以向受害者发送带有URL的电子邮件。这个URL指向一个Web站点，提供浏览器脚本作为输入，或释放出的恶意URL链接在博客或社交网站如脸谱网和推特。当用户点击链接时，恶意网站脚本将运行在其浏览器。浏览器不知道脚本是恶意的，会盲目地跑程序，它允许攻击者的浏览器脚本使用Cookie的功能窃取交易或冒充合法用户完成交易。

如何保护网站免受跨站点脚本攻击

一些常见的跨站点脚本预防的最佳实践包括测试应用程序在部署前和修复快速、简洁的方式的缺陷和漏洞。Web应用开发者应该过滤用户输入的去除可能的恶意字符和浏览器的脚本，并植入过滤用户输入的代码删除恶意字符。通常的管理员可以配置浏览器接受从受信任的站点或浏览器关闭脚本功能脚本，虽然这可能会导致使用网站的功能有限。

随着时代的进步，黑客越来越先进，使用的工具集来加快漏洞攻击过程。这意味着，只有这些常见的XSS预防措施的部署是不够的，而保护和预防的过程中必须从底层做起，不断提高预防过程中必须的。发展阶段开始，和Web应用程序建立在一个可靠和安全开发生命周期方法不太可能暴露漏洞的版本。此后，不仅提高了安全性，也提高了可用性和降低维修成本，因为在野外环境修复问题在开发阶段的成本比将。

Threat modeling is also an important aspect of XSS prevention, which should be included in the safe development life cycle of each organization.Threat modeling, evaluation and identification of all risks faced by application developers at the development stage will help Web developers better understand what kind of protection they need and how they will impact on the organization once they succeed.It is important to identify the threat level of a particular application and to consider its assets and the amount of sensitive information it visits.This threat modeling process will ensure the strategic integration of security factors in the application design and development process, and enhance the security awareness of Web developers.






大型项目的web开发者，源代码扫描工具和Web应用漏洞扫描是常见的选项来提高效率和减少工作量。网络漏洞扫描器可以识别常见的缺陷和漏洞：mdash；mdash；SQL注入、跨站脚本攻击、缓冲区溢出，但自定义应用程序的代码仍然需要人工审核。