一次点击，意代你的意代Cookie就没了

朋友发来一个链接，说“看这张图笑死我了”。意代你点开，意代页面白了一下，意代跳转到另一个网站。意代你退回来，意代继续刷微博。意代三天后，意代你发现自己的意代社交账号在凌晨两点发了十条赌博广告。

这就是意代XSS——跨站脚本攻击。攻击者把恶意代码塞进你以为安全的意代网页里，浏览器替你执行了它。意代整个过程悄无声息，意代比病毒直接得多。意代病毒要你下载文件，XSS连下载都不用，你只是“看了一眼”。

弹窗只是玩具，偷数据才是目的

教科书里常拿alert(1)做演示，弹个框证明漏洞存在。但现实攻击者早不玩这个了。他们更爱干这些事：

- 偷Cookie，登录态直接拿走
- 键盘记录，你输密码时他在后台收
- 篡改页面，把转账收款人换成自己的账号
- 挂挖矿脚本，用你电脑算门罗币

2018年英国航空公司遭Magecart攻击，40万客户信用卡信息泄露。攻击方式就是往订票页面的脚本里插了一段十几行的代码。用户照常买票，数据照常被偷，航空公司两个月后才发现。

存储型比反射型阴险十倍

反射型XSS是一次性的，你点恶意链接才触发，像钓鱼。存储型不同，恶意代码直接写进网站数据库——论坛帖子、评论区、商品描述。每个访问者都会中招，像下毒。

2005年Sammy蠕虫就是存储型XSS。一个叫Samy的19岁用户在自己MySpace主页放了段脚本，谁看他主页，谁就自动加他为好友，顺便把这段代码复制到自己主页。24小时内他好友数破百万。那会儿没有修复补丁，MySpace只能关站洗数据。

防XSS不是过滤，是理解浏览器

很多人以为过滤