本文目录一览：
如何防止xss攻击
1. XSS攻击原理
XSS原称为CSS(Cross-Site Scripting)，因为和层叠样式表(Cascading Style Sheets)重名，所以改称为XSS(X一般有未知的含义，还有扩展的含义)。XSS攻击涉及到三方：攻击者，用户，web server。用户是通过浏览器来访问web server上的网页，XSS攻击就是攻击者通过各种办法，在用户访问的网页中插入自己的脚本，让其在用户访问网页时在其浏览器中进行执行。攻击者通过插入的脚本的执行，来获得用户的信息，比如cookie，发送到攻击者自己的网站(跨站了)。所以称为跨站脚本攻击。XSS可以分为反射型XSS和持久性XSS，还有DOM Based XSS。(一句话，XSS就是在用户的浏览器中执行攻击者自己定制的脚本。)
1.1 反射型XSS
反射性XSS，也就是非持久性XSS。用户点击攻击链接，服务器解析后响应，在返回的响应内容中出现攻击者的XSS代码，被浏览器执行。一来一去，XSS攻击脚本被web server反射回来给浏览器执行，所以称为反射型XSS。
特点：
1 XSS攻击代码非持久性，也就是没有保存在web server中，而是出现在URL地址中；
2 非持久性，那么攻击方式就不同了。一般是攻击者通过邮件，聊天软件等等方式发送攻击URL，然后用户点击来达到攻击的；
1.2 持久型XSS
区别就是XSS恶意代码存储在web server中，这样，每一个访问特定网页的用户，都会被攻击。
特点：
1 XSS攻击代码存储于web server上；
2 攻击者，一般是通过网站的留言、评论、博客、日志等等功能(所有能够向web server输入内容的地方)，将攻击代码存储到web server上的；
有时持久性XSS和反射型XSS是同时使用的，比如先通过对一个攻击url进行编码(来绕过xss filter)，然后提交该web server(存储在web server中), 然后用户在浏览页面时，如果点击该url，就会触发一个XSS攻击。当然用户点击该url时，也可能会触发一个CSRF(Cross site request forgery)攻击。
1.3 DOM based XSS
基于DOM的XSS，也就是web server不参与，仅仅涉及到浏览器的XSS。比如根据用户的输入来动态构造一个DOM节点，如果没有对用户的输入进行过滤，那么也就导致XSS攻击的产生。过滤可以考虑采用esapi4js。
asp网站如何防止XSS攻击
asp中防止xss攻击的方法如下：
确保所有输出内容都经过 HTML 编码。
禁止用户提供的文本进入任何 HTML 元素属性字符串。
根据 msdn.microsoft.com/library/3yekbd5b 中的概述，检查 Request.Browser，以阻止应用程序使用 Internet Explorer 6。
了解控件的行为以及其输出是否经过 HTML 编码。如果未经过 HTML 编码，则对进入控件的数据进行编码。
使用 Microsoft 防跨站点脚本库 (AntiXSS) 并将其设置为您的默认 HTML 编码器。
在将 HTML 数据保存到数据库之前，使用 AntiXSS Sanitizer 对象（该库是一个单独的下载文件，将在下文中介绍）调用 GetSafeHtml 或 GetSafeHtmlFragment；不要在保存数据之前对数据进行编码。
对于 Web 窗体，不要在网页中设置 EnableRequestValidation=false。遗憾的是，Web 上的大多数用户组文章都建议在出现错误时禁用该设置。该设置的存在是有原因的，例如，如果向服务器发送回“X”之类的字符组合，该设置将阻止请求。如果您的控件将 HTML 发送回服务器并收到图 5 所示的错误，那么理想情况下，您应该在将数据发布到服务器之前对数据进行编码。这是 WYSIWYG 控件的常见情形，现今的大多数版本都会在将其 HTML 数据发布回服务器之前对该数据进行正确编码。
对于 ASP.NET MVC 3 应用程序，当您需要将 HTML 发布回模型时，不要使用 ValidateInput(false) 来关闭请求验证。只需向模型属性中添加 [AllowHtml] 即可，如下所示：
public class BlogEntry
{
public int UserId {get;set;}
[AllowHtml]
public string BlogText {get;set;}
}
如何有效防止XSS攻击/AJAX跨域攻击
1，利用字符过滤漏洞，提交恶意js代码，当用户打开页面时执行
2，需要填写图片地址或css等直接在页面加载时执行的地方，填写恶意js [javascript：xxxx]，当用户打开包含图片的页面时，可以执行js。比如GET s1.game.com/fight/:id 表示发兵到某个用户，虽然做了用户验证，但没做来源验证，用户只需将这个地址发到同用户的论坛作为图片地址即可执行
3，通过跳转页面漏洞，比如 refer.php?message=xxxx ，页面上直接用 $_GET['message'] 的话，就会造成xss漏洞，把message的参数换成js代码或恶意网址，即可盗取用户cookie，或执行恶意js，或跳转到钓鱼页面等
4，利用浏览器或服务器0day漏洞
1，XSS主要是你的页面可以运行用户写的js，所以对所有的用户提交的数据进行过滤，对于判断用户是否登录状态的cookie信息进行加密，并且加上Ip信息，这样基本被盗取也无法获取登录权限
2，对update或delete的操作采用post方式提交，每次form里加一个唯一验证字符串，用hiden方式提交，用于服务器验证是否来自用户客户端
3，跳转程序需要对传递的url进行匹配判断，只允许特定的格式
4，时常关注安全方面的消息，一有漏洞即刻不上
如何正确防御xss攻击?
防御xss攻击需要重点掌握以下原则：
在将不可信数据插入到HTML标签之间时，对这些数据进行HTML Entity编码。
在将不可信数据插入到HTML属性里时，对这些数据进行HTML属性编码。
在将不可信数据插入到SCRIPT里时，对这些数据进行SCRIPT编码。
在将不可信数据插入到Style属性里时，对这些数据进行CSS编码。
在将不可信数据插入到HTML URL里时，对这些数据进行URL编码。
使用富文本时，使用XSS规则引擎进行编码过滤
XSS攻击，即跨站脚本攻击(Cross Site Scripting)，为不和层叠样式表(Cascading Style Sheets, CSS)的缩写混淆，XSS是一种经常出现在web应用中的计算机安全。
防止XSS注入的方法
关于防止XSS注入：
1.尽量使用框架。通过对自己的网页进行xss保留型攻击的测试，尽管自己没有对某些输入框进入转义，但还是无法进行xss注入，因为框架会自动将某些特殊字符转义。（我使用的spring+struts+hibernate框架）。
2.如果不使用框架，一定要进行字符转义。对 、 、" 、 等字符进行转义成为： 、 、 " 等。
3.对输入长度进行限制。因为一般在进行xss攻击的时候，注入的字符串长度会非常长，例如 scriptalert("hello");/script 编译成十六进制时，会变成 \3C\73\63\72\69\70\74\3E\61\6C\65\72\74\28\22\68\65\6C\6C\6F\22\29\3B\3C\2F\73\63\72\69\70\74\3E ，可见，尽管是一个非常短的alert语句，长度也会很长，所以对输入长度进行限制会非常有效地过滤掉大部分的xss攻击。