本文目录一览：
- 1、XSS是什么
- 2、如何测试XSS漏洞
- 3、如何判断页面是否存在xss漏洞
- 4、如何快速判断网页是否存在xss漏洞
- 5、如何去测试一个 app 是否存在安全问题
- 6、如何简单快速的判断一个页面是否存在xss漏洞
XSS是什么
1、XSS是跨站脚本攻击(Cross Site Scripting)，为不和层叠样式表(Cascading Style Sheets, CSS)的缩写混淆，故将跨站脚本攻击缩写为XSS。
2、恶意攻击者往Web页面里插入恶意html代码，当用户浏览该页之时，嵌入其中Web里面的html代码会被执行，从而达到恶意攻击用户的特殊目的。
3、XSS攻击分成两类，一类是来自内部的攻击，主要指的是利用程序自身的漏洞，构造跨站语句，如:dvbbs的showerror.asp存在的跨站漏洞。
4、另一类则是来自外部的攻击，主要指的自己构造XSS跨站漏洞网页或者寻找非目标机以外的有跨站漏洞的网页。如当要渗透一个站点，自己构造一个有跨站漏洞的网页，然后构造跨站语句，通过结合其它技术，如社会工程学等，欺骗目标服务器的管理员打开。
如何测试XSS漏洞
XSS跨站漏洞分为大致三种：储存型XSS，反射型XSS，和DOM型XSS，一般都是由于网站对用户输入的参数过滤不严格而调用浏览器的JS而产生的。
储存型XSS：
一般是构造一个比如说"scriptalert("XSS")/script"的JS的弹窗代码进行测试，看是否提交后在页面弹窗，这种储存型XSS是被写入到页面当中的，如果管理员不处理，那么将永久存在，这种XSS攻击者可以通过留言等提交方式，把恶意代码植入到服务器网站上， 一般用于盗取COOKIE获取管理员的信息和权限。
反射型XSS：
一般是在浏览器的输入栏也就是urlget请求那里输入XSS代码，例如：127.0.0.1/admin.php?key="scriptalert("xss")/script，也是弹窗JS代码。当攻击者发送一个带有XSS代码的url参数给受害者，那么受害者可能会使自己的cookie被盗取或者“弹框“，这种XSS一次性使用，危害比储存型要小很多。
dom型：
常用于挖掘，是因为api代码审计不严所产生的，这种dom的XSS弹窗可利用和危害性并不是很大，大多用于钓鱼。比起存储型和反射型，DOM型并不常用。
跨站脚本攻击(Cross Site Scripting)，为了不和层叠样式表(Cascading Style Sheets, CSS)的缩写混淆，故将跨站脚本攻击缩写为XSS。恶意攻击者往Web页面里插入恶意Script代码，当用户浏览该页之时，嵌入其中Web里面的Script代码会被执行，从而达到恶意攻击用户的目的。
XSS攻击分成两类，一类是来自内部的攻击，主要指的是利用程序自身的漏洞，构造跨站语句，如:dvbbs的showerror.asp存在的跨站漏洞。
如何判断页面是否存在xss漏洞
试试腾讯电脑管家修复漏洞
腾讯电脑管家会根据你的系统环境智能筛选，若是发现不适用于你的系统环境的漏洞补丁也会智能忽略，将因补丁引起问题的机率较到最低。而至于磁盘空间的占用你是不用担心的，补丁备份所占用的空间并不高，你可以在清理垃圾后选择深度清理，然后选择Windows Update或自动更新数据库文件进行清理。至于系统性能，则正常情况下基本上不受影响。
如何快速判断网页是否存在xss漏洞
建议腾讯电脑管家修复，
补丁不是安装的越多越好，如果安装了不需要安装的补丁，不但浪费系统资源，还可能导致系统崩溃，电脑管家漏洞修复会根据您的电脑环境智能安装您的电脑真正需要的补丁，节省系统资源，同时保证电脑安全。
如何去测试一个 app 是否存在安全问题
身为测试答一个，这类安全性测试，是app专项测试中必须要做的一环，简单列举下目前常做的测试类别
1. 用户隐私
检查是否在本地保存用户密码，无论加密与否
检查敏感的隐私信息，如聊天记录、关系链、银行账号等是否进行加密
检查是否将系统文件、配置文件明文保存在外部设备上
部分需要存储到外部设备的信息，需要每次使用前都判断信息是否被篡改
2. 文件权限
检查App所在的目录，其权限必须为不允许其他组成员读写
3. 网络通讯
检查敏感信息在网络传输中是否做了加密处理，重要数据要采用TLS或者SSL
4. 运行时解释保护
对于嵌有解释器的软件，检查是否存在XSS、SQL注入漏洞
使用webiew的App，检查是否存在URL欺骗漏洞
5. Android组件权限保护
禁止App内部组件被任意第三方程序调用。
若需要供外部调用的组件，应检查对调用者是否做了签名限制
6. 升级
检查是否对升级包的完整性、合法性进行了校验，避免升级包被劫持
7. 3rd库
如果使用了第三方库，需要跟进第三方库的更新
如何简单快速的判断一个页面是否存在xss漏洞
打开腾讯电脑管家——工具箱——修复漏洞，进行漏洞扫描和修复。建议设置开启自动修复漏洞功能，开启后，电脑管家可以在发现高危漏洞（仅包括高危漏洞，不包括其它漏洞）时，第一时间自动进行修复，无需用户参与，最大程度保证用户电脑安全。尤其适合老人、小孩或计算机初级水平用户使用。开启方式如下：进入电脑管家“修复漏洞”模块—“设置”，点击开启自动修复漏洞即可。如何简单快速的判断一个页面是否存在xss漏洞