什么是跨站点脚本攻击？

您的信息有可能因此被盗。这类恶意脚本通常会瞄准登录字段，悄无声息地窃取您的登录凭据和 Cookie。植入的软件会将这些信息记录下来并传输给黑客，黑客随后便能利用这些信息掌控您的账号。

为何称为跨站点脚本攻击？

顾名思义，跨站点脚本攻击是指攻击者通过一个网站（“攻击者”网站），将恶意代码注入到另一个友好且毫无防备的网站中。这便是“跨站脚本”这一术语的由来。

起初，这个术语仅特指针对 JavaScript 的攻击。然而，在最初概念提出的几十年后，XSS 这个术语已大幅扩展，现涵盖非 JavaScript 形式的载体，例如 ActiveX、Flash、HTML 等。

跨站点脚本攻击的类型

跨站点脚本攻击分为多种类型，但以下 3 种最为常见：

1. 反射型跨站脚本攻击（Reflected XSS）

反射型 XSS 是最普遍的 XSS 攻击形式。当用户向网站服务器发送请求时，攻击者注入的恶意脚本会随服务器的响应一同返回，并在受害者屏幕上以错误信息或搜索结果等形式呈现。

受害者一旦点击了这些提示的按钮或链接，就会无意中执行恶意代码。这是因为受害者的浏览器被巧妙地欺骗，误以为这些代码来自可信的服务器。如此一来，任何输入到受感染网站的信息都将被发送给黑客。

2. 存储型跨站脚本攻击（Persistent XSS）

存储型 XSS 也称为持久型 XSS。当恶意代码感染并存储在应用程序或网站的所有 HTTP 响应中时，就会发生这种情况。

例如，恶意代码可能被隐藏在网站的评论区中，一旦用户查看评论，这段代码就会被触发。存储型 XSS 的危险之处在于，犯罪分子布下陷阱后，无需再诱骗潜在受害者点击链接，他们只需静待鱼儿上钩。

3. 基于 DOM 的跨站脚本攻击（DOM-based XSS）

基于文档对象模型（DOM）的 XSS 在用户打开网页时会自动生成，它允许用户无需与服务器交互即可访问页面所有内容。因此，这种攻击主要针对的是受害者的浏览器本身。

在反射型和存储型 XSS 攻击中，危险迹象通常会在响应页面的 HTML 代码中显现。然而，基于 DOM 的 XSS 威胁更为隐蔽，若不深入分析网站代码，普通用户很难察觉其漏洞，大多数非技术人员往往因此类攻击而中招。毕竟，没有人会在点击链接前仔细检查网站的源代码。

如何防范跨站点脚本攻击？

不幸的是，XSS 攻击的防御难度相对较高，因为恶意代码针对的是您访问的网站，而不是您的个人设备。

面对各类恶意软件，最好的防御方式是掌握相关知识。在不慎触发恶意代码之前，学会识别危险迹象是保障您在线活动安全的关键一步。以下是一些实用建议：

• 养成关注 URL 的习惯：如果您发现网址有任何异常，记得对该网站的后续操作保持高度警惕；
• 如果您是技术人员，可以查看每个网页的源代码，检查是否存在异常脚本；
• 使用现代浏览器：Chrome、Safari、Mozilla Firefox 以及大多数功能强大的安全浏览器都内置了安全功能，可以帮助检测并阻止反射型跨站脚本攻击。较旧的浏览器可能不具备此项功能。

NordVPN 的威胁防护 Pro 功能可以为您的数字安全提供额外的保护层——我们持续更新的恶意网站黑名单将在您无意中触发感染之前，有效阻止您访问这些危险网站。