小编前言：硬件有点麻了，继续开启安全实验之旅。

      1、XSS攻击原理：

        恶意浏览者构造巧妙的脚本恶意代码 通过网站功能存入到网站的数据库里面，如果程序没有经过过滤或者过滤敏感字符不严密就直接输出或者写入数据库，合法用户在访问这些页面的时候 程序将数据库里面的信息输出， 这些恶意代码就会被执行。

      2、XSS漏洞的分类：

        本地利用漏洞：这种漏洞存在于页面中客户端脚本自身；
        反射式漏洞：这种漏洞和类型A有些类似，不同的是Web客户端使用Server端脚本生成页面为用户提供数据时，如果未经验证的用户数据被包含在页面中而未经HTML实体编码，客户端代码便能够注入到动态页面中；
        存储式漏洞：该类型是应用最为广泛而且有可能影响到Web服务器自身安全的漏洞，骇客将攻击脚本上传到Web服务器上，使得所有访问该页面的用户都面临信息泄漏的可能，其中也包括了Web服务器的管理员。

      3、实验讲解

        实验一：

         实验二：

 

         实验三：

        上面的实验都比较基础简单，小编就不细说了，总之要有php,以及JS基础，利用其中的漏洞达到攻击的作用。 XSS攻击的危害包括窃取用户的敏感信息（如登录凭据，会话令牌等）、篡改网页内容、重定向用户到恶意网站等。攻击者可利用XSS漏洞来窃取用户的身份，进行钓鱼攻击，传播恶意软件等。

      4、防御措施：

        防止XSS攻击的主要方法是对用户输入进行正确的过滤和转义。开发人员应该使用适当的输入验证和输出编码来防止恶意脚本的注入。常见的防御措施包括：

        ①输入验证：对用户输入的数据进行验证，只接受符合预期格式和类型的数据。

        ②输出编码：在将用户输入的数据输出到Web页面之前，使用适当的编码方式对数据进行转义，确保浏览器将其视为文本而不是可执行的脚本代码。

        ③内容安全策略（Content Security Policy，CSP）：使用CSP可以指定允许加载和执行的内容源，限制了恶意脚本的执行。

        ④使用安全的开发框架和库：选择使用已经经过安全审查和测试的开发框架和库，这些框架和库通常包含了内置的安全措施，可以减少XSS漏洞的风险。

        ⑤定期更新和修补：及时更新和修补Web应用程序的软件组件和库，以确保已知的安全漏洞得到修复。