请描述下XSS是如何攻击的？

跨站脚本攻击 (XSS) 是一种代码注入攻击，攻击者将恶意脚本注入到看似合法的网站中。 受害者访问被注入脚本的网站时，恶意脚本就会在受害者的浏览器中执行，从而允许攻击者窃取用户的敏感信息、篡改网页内容，甚至劫持用户的会话。

XSS 主要分为三种类型：

• 反射型 XSS (Reflected XSS): 攻击者构造一个包含恶意脚本的 URL，诱导受害者点击。恶意脚本不会存储在服务器端，而是直接包含在 URL 中。当受害者访问这个 URL 时，服务器会将恶意脚本原封不动地返回给浏览器，从而执行。 这就像一个“回声”，恶意脚本被反射回来。 这种攻击通常难以防御，因为攻击者无法控制服务器端代码。

• 存储型 XSS (Stored XSS / Persistent XSS): 攻击者将恶意脚本存储在服务器端，例如数据库、论坛留言板、评论区等。 当其他用户访问包含恶意脚本的内容时，恶意脚本就会在他们的浏览器中执行。 这种攻击的危害性更大，因为恶意脚本会持续存在，影响更多用户。

• DOM-Based XSS (DOM Based XSS): 这种攻击不依赖于服务器端，而是利用浏览器端的 Document Object Model (DOM) 进行攻击。攻击者通过操纵浏览器端的 DOM 对象，注入恶意脚本。 这通常发生在客户端 JavaScript 代码处理用户输入不当的情况下。

攻击流程示例 (存储型 XSS):

1. 攻击者提交恶意脚本: 攻击者在网站的评论区提交一段看似正常的评论，但其中包含了恶意 JavaScript 代码，例如 <script>alert(document.cookie);</script> (这行代码会弹出用户的cookie信息)。

2. 服务器存储恶意脚本: 网站服务器将恶意评论连同恶意脚本一起存储到数据库中。

3. 受害者访问网站: 其他用户访问该网站并查看包含恶意脚本的评论。

4. 浏览器执行恶意脚本: 受害者的浏览器解析并执行恶意脚本，从而泄露用户的 cookie 信息。 攻击者可以利用 cookie 信息模拟受害者登录，窃取其账户信息。

防御措施：

• 输入验证和过滤: 对所有用户输入进行严格的验证和过滤，移除或转义潜在的恶意代码。 这包括 HTML 标签、JavaScript 代码、以及其他可能被利用的字符。

• 输出编码: 对输出到浏览器的内容进行编码，将特殊字符转换成 HTML 实体，防止浏览器将其解释为代码。

• 使用内容安全策略 (CSP): CSP 允许网站管理员控制浏览器加载哪些资源，从而限制恶意脚本的执行。

• HTTPOnly Cookies: 设置 Cookie 的 HttpOnly 属性，防止 JavaScript 代码访问 Cookie。

• 安全开发实践: 遵循安全编码规范，避免常见的 XSS 漏洞。 使用参数化查询，防止 SQL 注入，这虽然不是直接针对XSS，但可以预防一些间接导致XSS的漏洞。

• 定期安全扫描: 使用自动化工具定期扫描网站，发现潜在的 XSS 漏洞。

总而言之，XSS 攻击的根本原因在于对用户输入的处理不当。 通过严格的输入验证、输出编码和安全开发实践，可以有效地预防 XSS 攻击。