本文目录一览：
xss什么意思
xss
跨站脚本攻击(Cross Site Scripting)，为不和层叠样式表(Cascading Style Sheets, CSS)的缩写混淆，故将跨站脚本攻击缩写为XSS。恶意攻击者往Web页面里插入恶意Script代码，当用户浏览该页之时，嵌入其中Web里面的Script代码会被执行，从而达到恶意攻击用户的目的。
xss攻击的危害有哪些？
跨站脚本 ( Cross-Site Scriptin ) 简称xss，是由于Web应用程序对用户的输入过滤不足而产生的.攻击者利用网站漏洞把恶意的脚本代码(通常包括HTML代码和客户端 Javascript脚本)注入到网页之中，当其他用户浏览这些网页时，就会执行其中的恶意代码，对受害用户可能采取 Cookie资料窃取、会话劫持、钓鱼欺骗等各种攻击。
其危害有：
1、网络钓鱼，包括盗取各类用户账号；
2、窃取用户cookies资料，从而获取用户隐私信息，或利用用户身份进一步对网站执行操作；
3、劫持用户(浏览器)会话，从而执行任意操作，例如进行非法转账、强制发表日志、发送电子邮件等；
4、强制弹出广告页面、刷流量等；
5、网页挂马，进行恶意操作，例如任意篡改页面信息、删除文章等；
6、进行大量的客户端攻击，如DDoS攻击；
7、获取客户端信息，例如用户的浏览历史、真实IP、开放端口等；
8、控制受害者机器向其他网站发起攻击；
9、结合其他漏洞，如CSRF漏洞，进一步入侵和破坏系统；
10、提升用户权限，包括进一步渗透网站；
11、传播跨站脚本蠕虫等；
我现在由于人际关系的问题都不想上学去了 真的再这样下去我就要疯了 我该怎么办呀
楼主真是和以前的我挺像的，本来想交个朋友，但这几天花了挺大力气，也找不到楼主的邮箱，qq又不常用，只好把自己心中所想在这里说一下，
看了楼主的帖子，再结合楼主自己所说的--妙玉的形象，大致知道楼主是怎样的一个人了，因为以前我小时候也曾有很长一段时间被这种问题所困扰，不过后来终于走出了这个泥潭（虽说也有很大一部分归功于机缘巧合），所以想介绍一下自己的经历，希望对楼主能有些帮助
我遇到这种问题大概是刚上初中的时候，（因为小学时一团稚气，即使人际关系方面出了问题，谁也不会在意这个），出这种问题的原因我当时搞不清楚，觉得自己没有什么错，不过现在明白，大致有以下几个原因
1。我那时心胸有些狭窄（当然楼主不一定是这样，有则改之，无则加勉，可别因为这句话就不往下看了），举个例子，同学把我的钢笔弄丢了，按理说同学之间，这点小事就不用赔了，不过当时我还是让他陪了，还显得有些不高兴的样子；还有比如我睡觉时(那时本来也就是休息时间），已经睡着了，有的同学却冲进宿舍来大喊大叫，或者翻箱倒柜制造出大的声响，把我吵醒，实际后来想了一想，那只不过是他们这方面素质不是特别高，从来没想到过不应再休息时间大吵大闹这种事，不过当时就十分气愤，觉得他们是故意的，（其实谁会没事去给自己的同学捣乱呢？虽然世界上也有些人天生的幸灾乐祸，甚至会主动去给别人制造麻烦，损人不利己，但这种人毕竟是极少数，我们一般见不到的，倒是常因为自己一时想不开，把别人的无心之过错解，才把别人当成这样的人）
2。我自己有些多心。楼主是喜欢看红楼的，不知你是不是觉得黛玉她有时太多心---一件小事在那里想半天，不是跟自己过不去么？
再举我以前的例子：有一个挺要好的同学有一阵没跟我说话，我心里有些疑问：是不是自己什么事情没做好，他因此不理我？于是提心吊胆，想去问他，不过又担心碰钉子，因此只在自己心里揣摩，为此郁闷几天，又一次见他迎面走来，想上去和他打招呼，谁知他竟像没看见我一样走过去了，这下坚定了我的猜想，不由得心中有赌气起来，想着：哼，这几天也不知你为了什么，还是听了别人的什么话，就不理我，你既不理我，我也不是没你当朋友就不行，便也不理你--于是以后再见了他，也装作没看见的样子。谁知过了些时候，他竟来问我:“**,你最近是怎么了，总是不理我？”。我还挺奇怪：“怎么是说我不理你呢？明明是你前一段时间先不理我的，好像我欠了你什么似的。”他听了，笑着说：“原来是为了这个，前些时候我妈妈住院了，我自己又丢了自行车，所以心情不好，也许没在意这一点”。这下我真是有些惭愧，当初怎么会那样想。这样的事我遇了很多，所以再举两个例子。
这个挺像周星驰和刘德华合演的“整蛊专家”里的场景：我和宿舍里两个同学很要好，平时形影不离，有一天早上课间，我见他们俩在那里小声说话，好像不想让我听见，过了一阵，又凑过去些人，大约有六七个，其中四个竟是和我挺好的，我暗自想：不知你们在商量什么，于是也就凑过去，他们一见我过来，就不说了，还互相诡秘的一笑，我当时有些生气：你们这是干什么，有什么事竟不让我知道？后来么，很简单，就和电影里的场景一模一样，只是我当时还没有看过那电影，所以差点误解了他们。
第三个例子：那时我好胜心比较强，干什么事都想冲到前面。上周六奥数课的时候，有一次老师提问一道挺难的题，我上去答了出来，同学们都鼓掌，我自己也有些飘飘然（现在看来挺好笑吧），谁知有个同学竟打断我的兴致，站起来很理直气壮，很牛逼（不知你们那里有没有这个词，我们是用来指气势慑人，仿佛自己有很大本领的样子）（这是当时我的感觉，后来和他成了好朋友才了解他说话一直都是这个样子）地说："老师，我有更简单的解法。”然后就上黑板去，写了一个把整个黑板都占完还没写完的解法，结果还是错的，同学们都在底下笑，我也挺得意（我本来也不认识他，之所以有些幸灾乐祸纯粹是因为他刚才气焰过于嚣张），心想：谁叫你这么嚣张，这回受打击了吧。后来又有次上课，还是我上去解了一道题，他又是那样理直气壮的说：“老师，他那道题解错了”。结果我偏偏没错，后来又有两次类似的事，于是我就有些讨厌他--一来为他那种“不知天高地厚”的态度，二来觉得他总和我过不去。又后来，上课前，我在那里想一道题，边想边自言自语，大意是这道题怎么这么难，谁知他在旁边（当时如果我知道他在旁边，是怎么也不会自言自语的，我当时宁可不知道那道题的解法，也不愿在他面前示弱，去请教他），他听我这么说，主动凑过来给我说了那道题怎么解，还说遇到了这一类题应怎样解，我当时真是感动了，因为那时大家学习紧张，好胜心强，彼此之间谁不服谁，好些同学都不愿把自己的“秘技”介绍给别人，能像他这样坦诚相待的，真是少有。此时回想起当初我对他的想法---当初因为他几次对我提出质疑，我就觉得他是在嫉妒我————真是太可笑了。
3。第三点也是最重要的一点，是自我形象塑造的问题没有把握好。
楼主在以前的一篇帖子中也说过提到过，我觉得如果能领悟这一点，离成功也就不远了。
自我形象的塑造在人际关系之中占有的地位可说是重中之重。我对这个问题考虑了很久，也自认为有很透彻的研究，又因为机缘巧合（我从学前班开始，小学中学共转了7个，每换一个地方，就有一次重新塑造形象的机会），因此得到的锻炼很多，直到一两年前才终于“修成正果”。
这方面的经验，一时是说不完的，我现在卡上没钱，过半个小时就得下机，这一点又是慢功，先不急着说了，暂时跳过
4。这一点算是我给楼主的建议，心理负担不要太重。
人际关系处理不好是常事，有什么大不了的。可能你没见过比你这方面更差的人，其实多着呢。我以前的处境比你现在还艰难，这两年人际关系却处得如鱼得水，怕什么？天无绝人之路！而且不要自己怪自己，人际关系处理不好不是你的错，这种事情很大程度上是由先天决定的，你能改变它是你做得好，改变不了它却不能说明你做得就不好，慢慢来，先别因为别人怎么样就受不了，“吃得苦中苦，方为人上人”，“阳光总在风雨后”
祝你一切顺心
补充：我上面说到我们一般很少遇到损人不利己的人，这话有些不确切，看楼主的情况，应该真是这样，没关系，不用理他们，只管自己没问题就行了（这一句话要正确把握），他们故意怎么样，让他们去吧，以后总会有他们后悔的时候，你没必要跟他们去计较，也不会一辈子都碰到这种人的，以后的路还长着呢，何必为他们那些小人把自己搞得不愉快？
好，先写到这里了
如何正确防御xss攻击
传统防御技术
2.1.1基于特征的防御
传统XSS防御多采用特征匹配方式，在所有提交的信息中都进行匹配检查。对于这种类型的XSS攻击，采用的模式匹配方法一般会需要对“javascript”这个关键字进行检索，一旦发现提交信息中包含“javascript”，就认定为XSS攻击。
2.1.2 基于代码修改的防御
和SQL注入防御一样，XSS攻击也是利用了Web页面的编写疏忽，所以还有一种方法就是从Web应用开发的角度来避免：
1、对所有用户提交内容进行可靠的输入验证，包括对URL、查询关键字、HTTP头、POST数据等，仅接受指定长度范围内、采用适当格式、采用所预期的字符的内容提交，对其他的一律过滤。
2、实现Session标记(session tokens)、CAPTCHA系统或者HTTP引用头检查，以防功能被第三方网站所执行。
3、确认接收的的内容被妥善的规范化，仅包含最小的、安全的Tag(没有javascript)，去掉任何对远程内容的引用(尤其是样式表和javascript)，使用HTTP only的cookie。
当然，如上方法将会降低Web业务系统的可用性，用户仅能输入少量的制定字符，人与系统间的交互被降到极致，仅适用于信息发布型站点。
并且考虑到很少有Web编码人员受过正规的安全培训，很难做到完全避免页面中的XSS漏洞。
扩展资料：
XSS攻击的危害包括
1、盗取各类用户帐号，如机器登录帐号、用户网银帐号、各类管理员帐号
2、控制企业数据，包括读取、篡改、添加、删除企业敏感数据的能力
3、盗窃企业重要的具有商业价值的资料
4、非法转账
5、强制发送电子邮件
6、网站挂马
7、控制受害者机器向其它网站发起攻击
受攻击事件
新浪微博XSS受攻击事件
2011年6月28日晚，新浪微博出现了一次比较大的XSS攻击事件。
大量用户自动发送诸如：
“郭美美事件的一些未注意到的细节”，“建党大业中穿帮地方”，“让女人心动的100句诗歌”，“这是传说中的神仙眷侣啊”等等微博和私信，并自动关注一位名为hellosamy的用户。
事件的经过线索如下：
20:14，开始有大量带V的认证用户中招转发蠕虫
20:30，某网站中的病毒页面无法访问
20:32，新浪微博中hellosamy用户无法访问
21:02，新浪漏洞修补完毕
百度贴吧xss攻击事件
2014年3月9晚，六安吧等几十个贴吧出现点击推广贴会自动转发等。并且吧友所关注的每个关注的贴吧都会转一遍，病毒循环发帖。并且导致吧务人员，和吧友被封禁。
参考资料：
XSS攻击-百度百科
XSS攻击的受攻击事件
新浪微博XSS受攻击事件
2011年6月28日晚，新浪微博出现了一次比较大的XSS攻击事件。大量用户自动发送诸如：“郭美美事件的一些未注意到的细节”，“建党大业中穿帮的地方”，“让女人心动的100句诗歌”，“3D肉团团高清普通话版种子”，“这是传说中的神仙眷侣啊”，“惊爆!范冰冰艳照真流出了”等等微博和私信，并自动关注一位名为hellosamy的用户。
事件的经过线索如下：
20:14，开始有大量带V的认证用户中招转发蠕虫
20:30，某网站中的病毒页面无法访问
20:32，新浪微博中hellosamy用户无法访问
21:02，新浪漏洞修补完毕
百度贴吧xss攻击事件
2014年3月9晚，六安吧等几十个贴吧出现点击推广贴会自动转发等。并且吧友所关注的每个关注的贴吧都会转一遍，病毒循环发帖。并且导致吧务人员，和吧友被封禁。