Hero Think~用手摀住我的嘴

     XSS的全稱是Cross Site Scripting，意思是跨網站腳本程式這第一個單詞是Cross，為什麼縮寫成X呢？因為CSS是層疊樣式表的縮寫(Cascading Style Sheets)的縮寫，同時Cross發音和X相似，為了避免混淆用X來代替，縮寫成XSS。其實我覺得叫XSS挺合適的，因為現在流行AJAX嘛，新的跨站腳本攻擊技術很多都是和XMLHTTP控制項無間配合。它指的是惡意攻擊者往Web頁面裏插入惡意html代碼，當用戶瀏覽該頁之時，嵌入其中Web裏面的html代碼會被執行，從而達到惡意用戶的特殊目的。XSS屬於被動式的攻擊，因為其被動且不好利用，所以許多人常呼略其危害性。
這個問題所帶來的影響遠超過突如其來的打擾或惡作劇。透過擷取您的 cookies 資料(一種儲存在個人瀏覽器的暫存資訊)，跨網站攻擊程式能夠讓攻擊者取得您網站的管理者權限。

     這是如何發生的呢？主要是網站系統並沒有過濾使用者提供的資訊就顯示在畫面中，再利用網頁執行的特性，在使用端執行那些會危害或竊取使用者隱私資訊；就像一個使用者上傳了留言、評論或甚至是一個帳號與密碼，如果這些資訊接下來會顯示在網頁中，這時就可以在上頭動些手腳以達到想攻擊入侵的目的。作法有點像SQL Injection攻擊(改天再來介紹)，只是攻擊的目標從資料庫換成使用者或系統。

     這些內容也許是無傷大雅的(例如惡作劇)，也或者會是嘗試要取得私人資訊的惡意程式碼，藉此闖入您的系統。簡單來說通常這些攻擊內容會以程式碼的形式存在，因此才會取名為 '跨網站攻擊程式'。