本文目录一览：
- 1、什么是存储型xss漏洞？
- 2、如何关闭跨站点脚本 (XSS) 筛选器
- 3、xss攻击的危害有哪些？
- 4、XSS与CSRF有什么区别吗？
- 5、Internet Explorer 已对此页面进行了修改，以帮助阻止跨站脚本,解决：禁用XSS 筛选器
- 6、网站被人挂马了，打开网页就弹出广告页！
什么是存储型xss漏洞？
Web2.0时代，XSS漏洞不容小觑。特别是在UGC业务，支持“安全的”HTML是业务必须的特性，这就对UGC安全过滤器要求特别高，稍有不慎就会出现存储XSS漏洞。
整篇文章着眼点在“方案”，后续有机会我们还可以说说API的运营故事(这个元老级项目故事很多)。通过对API的精细化运营是可以发现0day漏洞的——API自身的，甚至包括浏览器。比如CVE-2009-1862、CVE-2011-2458 以及一些其他八卦。
存储型XSS漏洞，这个作为漏洞界的元老级漏洞类型，在当前web2.0时代，一旦被利用，对业务造成的影响也将是轰轰烈烈的，比如之前的“XX咖啡广告”：
如何关闭跨站点脚本 (XSS) 筛选器
这个错误是由于 IE8 的跨站脚本(Cross-site scripting, XSS)防护阻止了跨站发送的请求。
点击 IE8 的“工具”-“Internet 选项”，进入“安全”选项卡，打开“Internet”下方的“自定义级别”，在“安全设置”对话框中找到“启用 XSS 筛选器”，改为“禁用”即可。
xss攻击的危害有哪些？
跨站脚本 ( Cross-Site Scriptin ) 简称xss，是由于Web应用程序对用户的输入过滤不足而产生的.攻击者利用网站漏洞把恶意的脚本代码(通常包括HTML代码和客户端 Javascript脚本)注入到网页之中，当其他用户浏览这些网页时，就会执行其中的恶意代码，对受害用户可能采取 Cookie资料窃取、会话劫持、钓鱼欺骗等各种攻击。
其危害有：
1、网络钓鱼，包括盗取各类用户账号；
2、窃取用户cookies资料，从而获取用户隐私信息，或利用用户身份进一步对网站执行操作；
3、劫持用户(浏览器)会话，从而执行任意操作，例如进行非法转账、强制发表日志、发送电子邮件等；
4、强制弹出广告页面、刷流量等；
5、网页挂马，进行恶意操作，例如任意篡改页面信息、删除文章等；
6、进行大量的客户端攻击，如DDoS攻击；
7、获取客户端信息，例如用户的浏览历史、真实IP、开放端口等；
8、控制受害者机器向其他网站发起攻击；
9、结合其他漏洞，如CSRF漏洞，进一步入侵和破坏系统；
10、提升用户权限，包括进一步渗透网站；
11、传播跨站脚本蠕虫等；
XSS与CSRF有什么区别吗？
XSS是获取信息，不需要提前知道其他用户页面的代码和数据包。CSRF是代替用户完成指定的动作，需要知道其他用户页面的代码和数据包。要完成一次CSRF攻击，受害者必须依次完成两个步骤：
登录受信任网站A，并在本地生成Cookie。
在不登出A的情况下，访问危险网站B。
CSRF的防御
服务端的CSRF方式方法很多样，但总的思想都是一致的，就是在客户端页面增加伪随机数。通过验证码的方法。
by三人行慕课
Internet Explorer 已对此页面进行了修改，以帮助阻止跨站脚本,解决：禁用XSS 筛选器
IE浏览器——工具——internet选项——安全——自定义级别。找到XSS筛选器，选择禁用。然后全部确定或者应用即可。
网站被人挂马了，打开网页就弹出广告页！
花点钱找个技术维护下吧，通常这种情况是sql注入或者XSS攻击
可以用谷歌浏览器打开会弹出广告的页面，然后按F12，打开调试工具，然后按下面的方法找到广告的标志性代码，在你网站代码里搜索一下，看看是不是被人注入到代码中了，如果没有，再到数据库里查找，看看是否被写入到数据库，找到删除即可。
这种方式只能治标不治本，别人已经发现你网站的漏洞，不解决这个漏洞，就算删除了，别人依然可以再次注入，找个技术维护下。
