什么是xss漏洞
XSS又叫CSS英文缩写为Cross Site Script
中文意思为跨站脚本攻击
具体内容指的是恶意攻击者往Web页面里插入恶意html代码，当用户浏览该页之时，
嵌入其中Web里面的html代码会被执行，从而达到恶意用户的特殊目的.
xss的漏洞危害
  • 获取用户cookie
  • 修改页面信息
  • 浏览器劫持
  • 与其他漏洞结合（如：csrf漏洞）
  • 其他
xss漏洞实例演示
  • 略（在这里放貌似不太合适）
xss漏洞是如何产生的
以下Velocity模板VM中常见的代码
  • <span>$!productName</span>
  • <script>var from = '$!rundata.Parameters.getString('from')';</script>
对于第一种类型的代码我们可以输入变量为
<iframe src=http://hacker.com></iframe>
第一种类型的代码将变为
<span><iframe src=http://hacker.com></iframe></span>
对于第二种类型的代码我们可以输入变量为
';hackerFunction(document.cookie);'
第二种类型的代码将变为
<script>var from = '';hackerFunction(document.cookie);''; </script>
以上两种类型的代码都轻易的被植入了恶意的脚本，也就是说产生了传说中的xss漏洞。
xss漏洞如何预防
1. 对于非富文本针对入参进行转义
可通过escapeHtml和JavaScript进行转义。
转义过后上面的代码将会变成
<span>&ltiframe&nbspsrc&equalshttp&colon&sol&solhacker&periodcom&gt&lt&soliframe&gt</span>
转义后用户输入的恶意脚本代码就不会被执行从而达到了预防和修复的目的。
2. 对于富文本入参进行过滤
略。
总结
本篇简要介绍了什么是xss漏洞，xss漏洞在代码中是如何产生的，简单介绍了如何去预防和修复xss漏洞。
预告
下篇将介绍如何去测试xss漏洞。