1.XSS(跨站脚本攻击)
跨站脚本攻击(Cross Site Scripting)，为不和层叠样式表(Cascading Style Sheets, CSS)的缩写混淆，故将跨站脚本攻击缩写为XSS。
恶意攻击者往Web页面里插入恶意Script代码，当用户浏览该页之时，嵌入其中Web里面的Script代码会被执行，从而达到恶意攻击用户的特殊目的。
是一种注入式攻击
2.成因：
（1）对于用户的输入没有严格控制而直接输出到页面
（2）对于非预期输入的信任。
3.危害：
（1）盗取各类用户的账号，如机器登录账号，用户网银账号
（2）窃取数据
（3）非法转账
（4）挂马
4.XSS分类
（1）存储型（持久型）
（2）反射型（非持久型）
（3）DOM型
存储型。数据库没有特别的设置，就是没有进行过滤
5.CSRF（跨站伪造请求）
跨站伪造请求（Cross-site request forgery）,也称为on click attack/session riding 还可以缩写为XSRF(一般是通过用户的点击)
通俗的说，就是利用被害者的身份去发送请求。
6.浏览器的cookie保存机制。
Session Cookie，浏览器不关闭则不失效。
本地cookie，过期时间内，无论浏览器关闭与否均不失效。
7.CSRF与XSS的区别
（1）XSS：利用对用户输入的不严谨然后执行JS语句
（2）CSRF：通过伪造受信任用户的身份进行伪造发送请求
（3）CSRF可以XSS实现
8.CSRF的几种攻击方式
（1）通过HTML元素发起CSRF请求
（2）JSON HiJacking
（3）Flash CSRF
