1.2　XSS漏洞

跨站脚本“Cross-Site Scripting”的英文首字母缩写本应为“CSS”，但因为“CSS”已在网页设计领域使用，即层叠样式表“Cascading Style Sheets”，所以将“Cross”（意为“交叉”）改以交叉形的“X”为缩写。XSS按照一般的分类方式，可以分为两种。

• 反射型XSS

• 存储型XSS

在CTF比赛中，很少碰到反射型XSS，题目涉及的基本上是存储型XSS。顾名思义，存储型XSS就是将XSS代码通过代码注入或其他方式保存在网页中，如果有人打开这个页面，就会执行里面的攻击代码，完成一次被动攻击。简言之，XSS就是想办法将可执行代码（例如JavaScript、VB、ActiveX、Flash）嵌入目标页面，等待“鱼儿”上钩。