一.xss攻击简介
1.OWASP TOP 10 之一，XSS被称为跨站脚本攻击(Cross-site-scripting)
2.主要基于java script 完成恶意攻击行为。JS可以非常灵活的操作html、css和浏览器，这使得XSS攻击的想象空间特别大。
3.XSS通过将精心构造代码JS注入到网页中，并由浏览器解释运行这段代码，以达到恶意攻击的效果。当用户访问被XSS脚本注入的网页，XSS脚本就会被提取出来。用户浏览器就会解析这段XSS代码，也就是说用户被攻击了。
4.微博，留言板，聊天室等等收集用户输入的地方，都有可能被注入XSS代码，都存在遭受XSS的风险，只要没有对用户的输入进行严格过滤，就会被XSS
二.xss攻击危害
1.盗取用户账号 2.控制企业数据包括篡改、添加、删除敏感数据 3.盗窃企业重要的具有商业价值的资料 4.非法转账 5.强制发送电子邮件 6.网站挂马 7.控制受害者及其向其他网站发起攻击 卖肉机
三.xss攻击的分类
1.反射型：
非持久性跨站点脚本攻击
攻击是一次性的，仅对当次的页面访问产生影响
2.存储型：
持久性跨站点脚本
攻击者的数据存储在服务器端，攻击行为将伴随着攻击数据一直存在
3.DOM型：
既可能时反射型的，也有可能是存储型的
基于文档对象模型(Document Objeet model,DOM)的一种漏洞
四.xss产生的原因
1.web应用对用户输入过滤不严谨 2.攻击者写入恶意的脚本代码到网页中 3.用户访问了含有恶意代码的网页 4.恶意脚本就会被浏览器解析执行并导致用户被攻击
五.构造xss攻击脚本
1.基础知识
常用的html标签（ , , ,
常用的JS脚本（alert，location.href,onload,onsubmit）
2.构造脚本的方式
弹窗警告，页面嵌套，页面重定向，弹窗警告并重定向，图片标签利用，绕开过滤的脚本，访问恶意代码(网络种马)
六.自动xss攻击
1.BeEF简介
Browser Exploitation Framework (BeEF)是目前强大的浏览器开源渗透测试框架，通过xss漏洞配合JS脚本和metasploit进行渗透；BeEF是基于Ruby语言编写的并且支持图形化界面，操作简单
