本文目录一览：
XSS漏洞是什么，哪个简述一下。。。
微软安全应急小组确认了微软SharePoint Server 2007产品中的严重跨站脚本漏洞(XSS)的存在。该漏洞可以通过浏览器被利用，使黑客通过漏洞程序执行任意的JavaScript代码。该漏洞的具体细节已经被公布，微软预计在本周末发布的安全报告上将提供补丁修复这一漏洞。下面是关于这个漏洞的一些细节：该漏洞是没有正确的处理“/_layouts/help.aspx”脚本，来清除用户输入的“cid0”变量。成功利用该漏洞的攻击将导致应用程序挂起，基于Cookies的信息将可能泄露，用户敏感数据将可能遭到篡改。攻击者可以使用浏览器来利用这个漏洞。在Twitter上，微软表示他们已经发现了这个漏洞，并且承诺会给受影响的用户推送指导意见，详见截图：这不是微软SharePoint的第一起XSS安全漏洞事件。我们回溯到2007年，微软就发布了一个“严重”级别的安全补丁来修复一个漏洞。该漏洞允许攻击者执行任意代码，这将导致在一个SharePoint站点的权限提升。
XSS攻击和DDOS攻击的区别
XSS攻击：跨站脚本攻击(Cross Site Scripting)，为不和层叠样式表(Cascading Style Sheets, CSS)的缩写混淆，故将跨站脚本攻击缩写为XSS。
分布式拒绝服务(DDoS:Distributed Denial of Service)攻击指借助于客户/服务器技术，将多个计算机联合起来作为攻击平台，对一个或多个目标发动DDoS攻击，从而成倍地提高拒绝服务攻击的威力。通常，攻击者使用一个偷窃帐号将DDoS主控程序安装在一个计算机上，在一个设定的时间主控程序将与大量代理程序通讯，代理程序已经被安装在网络上的许多计算机上。代理程序收到指令时就发动攻击。利用客户/服务器技术，主控程序能在几秒钟内激活成百上千次代理程序的运行。
跨站脚本攻击的危害
为了搜集用户信息，攻击者通常会在有漏洞的程序中插入 JavaScript、VBScript、 ActiveX或Flash以欺骗用户（详见下文）。一旦得手，他们可以盗取用户帐户，修改用户设置，盗取/污染cookie，做虚假广告等。每天都有大量的XSS攻击的恶意代码出现。 Brett Moore的下面这篇文章详细地阐述了“拒绝服务攻击”以及用户仅仅阅读一篇文章就会受到的“自动攻击”。 1.HTML注入。所有HTML注入范例只是注入一个JavaScript弹出式的警告框：alert(1)。
2.做坏事。如果您觉得警告框还不够刺激，当受害者点击了一个被注入了HTML代码的页面链接时攻击者能作的各种的恶意事情。
3.诱捕受害者。 “微博病毒”攻击事件
回顾：
2011年6月28日晚，新浪微博出现了一次比较大的XSS攻击事件。大量用户自动发送诸如：“郭美美事件的一些未注意到的细节”，“建党大业中穿帮的地方”，“让女人心动的100句诗歌”，“3D肉团团高清普通话版种子”，“这是传说中的神仙眷侣啊”，“惊爆!范冰冰艳照真流出了”等等微博和私信，并自动关注一位名为hellosamy的用户。
事件的经过线索如下：
20:14，开始有大量带V的认证用户中招转发蠕虫
20:30，某网站中的病毒页面无法访问
20:32，新浪微博中hellosamy用户无法访问
21:02，新浪漏洞修补完毕 随着AJAX（Asynchronous JavaScript and XML，异步JavaScript和XML）技术的普遍应用，XSS的攻击危害将被放大。使用AJAX的最大优点，就是可以不用更新整个页面来维护数据，Web应用可以更迅速地响应用户请求。AJAX会处理来自Web服务器及源自第三方的丰富信息，这对XSS攻击提供了良好的机会。AJAX应用架构会泄漏更多应用的细节，如函数和变量名称、函数参数及返回类型、数据类型及有效范围等。AJAX应用架构还有着较传统架构更多的应用输入，这就增加了可被攻击的点。
互联网黑暗面是什么?
这种融合了互联、共享和实时更新的网页技术，被冠以“第二代互联网”的称号，然而，它也成为企图向这个混合体注入恶意代码的入侵者的沃土。
微软一度是最主要的攻击对象，其文字处理程序、浏览器和操作系统中的薄弱环节被利用，但随着入侵者把注意力从电脑桌面程序转向web应用程序，谷歌(Google)、雅虎(Yahoo)和MySpace现在也同样可能受到攻击。
浏览器：Web 2.0主角
在Web 2.0环境，许多活动在浏览器内进行。举例来说，谷歌用户可在网页填写电子数据表、进行文字处理，而其日历和电子邮件收件箱的更新方式，与使用基于硬盘的微软Office套装软件相同。
区别在于，信息被不断嵌入网页，这些网页从谷歌服务器传送到用户浏览器，最常用的浏览器是Internet Explorer或火狐(Firefox)。
Web 2.0也代表社会软件(social software)，包括维基(wiki)、博客(blog)、简易供稿(RSS)新闻源、标签(tagging)和社区站点。它是一个宽容的社区，用户可以自由地相互借用、添加并混合数据。
尽管这些技术和工具会带来新的自由，但也成为病毒编写者和个人身份信息盗窃者的“新天地”。
Web 2.0对恶意软件(malware)开发者的吸引力，部分在于运行Web 2.0的后台程序的复杂性。Ajax（异步JavaScript和XML）是一系列用来使网页更具互动性的技术的总称。运用这些技术，网页与服务器可自动交换少量数据，以刷新部分网页（如不断变化的股价或比分），让网页“活”起来。
“编写JavaScript代码约有100种不同的方法，火狐和Internet Explorer各有50种，”BreakingPoint Systems的安全研究主管HD•摩尔(HD Moore)称。“问题在于，很难区分善意与恶意代码。”
雅虎遇袭
6月份，一名病毒编写者用雅虎的web电邮服务发出了一封隐含某种JavaScript代码的邮件，使雅虎的网页邮件服务遭到“恶意代码”的冲击。由于雅虎允许网页执行JavaScript，因此其邮件系统很容易受到Yamanner蠕虫病毒的攻击。
任何打开邮件的人都激活了脚本，这些脚本向用户的地址簿发出请求，然后将蠕虫病毒发给地址簿中的每个人，其目的也许是为散布垃圾邮件而收集邮件地址。
“如果没有Ajax，Yamanner蠕虫病毒就不可能发生，”SPI Dynamics安全研究员比利•霍夫曼(Billy Hoffman)称。
“令人害怕的是，在雅虎看来，没有什么危险的事发生，用户只不过创建并发送了一封邮件。浏览器也一样，发现了某个Java脚本，就运行了它，而最终用户对此也无能为力。”
上月，谷歌RSS阅读器也发现了类似的缺陷。谷歌采用了JavaScript技术，以便用户能够为阅读器添加新闻源，而一位安全专家能够向新闻源地址添加数据，从而使浏览器连向另一个网站。如果带有恶意目的，所连向的可能是欺骗用户吐露个人信息的网络钓鱼(phishing)网站。
跨站脚本漏洞
网络安全业内将Web 2.0网站内的这些编码缺陷，称为跨站脚本(XSS)或跨站脚本漏洞。
近期利用跨站脚本漏洞的最著名事件，是去年10月份MySpace网站遭到的相对良性攻击。MySpace是如今最大的社交网站，用户人数达5400万。
19岁的洛杉矶软件开发员“Samy”编写了一段蠕虫程序，令他获得了逾100万网上“好友”，直至MySpace使该程序失效。他在自己的 MySpace简介里，置入一段JavaScript代码，这样每个查看简介的人会在不知不觉中执行这段代码。这段代码把他列为该用户的好友之一，而在通常情况下，列为好友需要得到该用户的同意，但他写的蠕虫使用Ajax技术，使之在后台批准他的请求。
接着，该蠕虫会打开该用户自己的简介，把恶意代码复制进去，并把Samy添加到那里的任何英雄列表中，还附上一句话：“但Samy是我最敬佩的英雄”。同样，任何查看该用户简介的人也会被感染，这样Samy的名声和“人气”迅速扩大到100万MySpace会员。
此时，该网站的管理员才发觉大量活动，被迫将MySpace关闭数小时，以清除该蠕虫病毒。
“在后台袭击MySpace、谷歌和雅虎的是跨站脚本，”计算机安全公司iSEC Partners主合伙人亚历克斯•斯坦默斯(Alex Stamos)说。“你可以通过脚本的输入输出过滤来进行阻挡。在传统的Web 1.0世界里，要处理的只有一大张以标准超文本标识语言(HTML)编写的网页，因此要把这些脚本阻挡在外并不难。”
但在Web 2.0中，插入脚本的方式如此之多，以至于进行阻挡要难得多，他说道。编写web应用的人，再也不能只用现成的过滤器了。
“24小时读完一本Ajax的书”
“你必须培训开发人员，”SPI的霍夫曼先生说。“围绕Ajax的炒作正导致一个问题：人们看到了MySpace的成功而纷纷采用Ajax技术。他们24小时内读完一本如何学会Ajax的书，然后创建一个存在安全隐忧的网站。”
此类初创网站得到了Ajax“框架”的帮助，“框架”就是现成的Web 2.0程序包。“利用Ajax框架的理念就是，你不必理解它如何运行。但我们的观点是，如果不知道它如何运行，你就不知道如何安全地使用它，”斯坦默斯表示。
他的公司探索了一些漏洞，当用户打开多个浏览器窗口，并在一个窗口里访问一个恶意站点时，可能导致在另一个窗口获得信息，并执行脚本。
SPI向一家网上股票经纪商展示了它所创建的恶意软件，该软件冒充会员身份，买卖他们的股票，并清空其银行账户。
程序开发人员将谷歌本地搜索(Google Maps)等应用，与在线分类广告服务网站Craigslist的广告结合起来，给出待售房产的位置信息，此类混合技术(mash-up)意味着，安全问题已扩展到不同的应用程序中。在RSS阅读器中聚合新闻源，并将用户对新闻条目所作的评论包含进去，这种做法也增加了引入恶意代码的概率。
然而，许多Web 2.0初创网站规模太小，无法把很多时间花在安全问题上。“在Web 1.0时代，安全性姗姗来迟，并且总是落在后面，这很正常，”斯坦默斯说。
“你不可能找到一个风险投资家，对他说你将拥有最安全的混合技术站点，然后得到2000万美元。你应该说，你将提供最酷的互动方式，这才会使你得到资助。”
如何正确防御xss攻击
传统防御技术
2.1.1基于特征的防御
传统XSS防御多采用特征匹配方式，在所有提交的信息中都进行匹配检查。对于这种类型的XSS攻击，采用的模式匹配方法一般会需要对“javascript”这个关键字进行检索，一旦发现提交信息中包含“javascript”，就认定为XSS攻击。
2.1.2 基于代码修改的防御
和SQL注入防御一样，XSS攻击也是利用了Web页面的编写疏忽，所以还有一种方法就是从Web应用开发的角度来避免：
1、对所有用户提交内容进行可靠的输入验证，包括对URL、查询关键字、HTTP头、POST数据等，仅接受指定长度范围内、采用适当格式、采用所预期的字符的内容提交，对其他的一律过滤。
2、实现Session标记(session tokens)、CAPTCHA系统或者HTTP引用头检查，以防功能被第三方网站所执行。
3、确认接收的的内容被妥善的规范化，仅包含最小的、安全的Tag(没有javascript)，去掉任何对远程内容的引用(尤其是样式表和javascript)，使用HTTP only的cookie。
当然，如上方法将会降低Web业务系统的可用性，用户仅能输入少量的制定字符，人与系统间的交互被降到极致，仅适用于信息发布型站点。
并且考虑到很少有Web编码人员受过正规的安全培训，很难做到完全避免页面中的XSS漏洞。
扩展资料：
XSS攻击的危害包括
1、盗取各类用户帐号，如机器登录帐号、用户网银帐号、各类管理员帐号
2、控制企业数据，包括读取、篡改、添加、删除企业敏感数据的能力
3、盗窃企业重要的具有商业价值的资料
4、非法转账
5、强制发送电子邮件
6、网站挂马
7、控制受害者机器向其它网站发起攻击
受攻击事件
新浪微博XSS受攻击事件
2011年6月28日晚，新浪微博出现了一次比较大的XSS攻击事件。
大量用户自动发送诸如：
“郭美美事件的一些未注意到的细节”，“建党大业中穿帮地方”，“让女人心动的100句诗歌”，“这是传说中的神仙眷侣啊”等等微博和私信，并自动关注一位名为hellosamy的用户。
事件的经过线索如下：
20:14，开始有大量带V的认证用户中招转发蠕虫
20:30，某网站中的病毒页面无法访问
20:32，新浪微博中hellosamy用户无法访问
21:02，新浪漏洞修补完毕
百度贴吧xss攻击事件
2014年3月9晚，六安吧等几十个贴吧出现点击推广贴会自动转发等。并且吧友所关注的每个关注的贴吧都会转一遍，病毒循环发帖。并且导致吧务人员，和吧友被封禁。
参考资料：
XSS攻击-百度百科
XSS攻击的受攻击事件
新浪微博XSS受攻击事件
2011年6月28日晚，新浪微博出现了一次比较大的XSS攻击事件。大量用户自动发送诸如：“郭美美事件的一些未注意到的细节”，“建党大业中穿帮的地方”，“让女人心动的100句诗歌”，“3D肉团团高清普通话版种子”，“这是传说中的神仙眷侣啊”，“惊爆!范冰冰艳照真流出了”等等微博和私信，并自动关注一位名为hellosamy的用户。
事件的经过线索如下：
20:14，开始有大量带V的认证用户中招转发蠕虫
20:30，某网站中的病毒页面无法访问
20:32，新浪微博中hellosamy用户无法访问
21:02，新浪漏洞修补完毕
百度贴吧xss攻击事件
2014年3月9晚，六安吧等几十个贴吧出现点击推广贴会自动转发等。并且吧友所关注的每个关注的贴吧都会转一遍，病毒循环发帖。并且导致吧务人员，和吧友被封禁。