如果有人攻击你的Web 页面该怎么办？

今天给大家讲解的内容是“跨站脚本攻击测试“，跨站脚本攻击（XSS）是一种将恶意脚本注入到可信任网站中的一种攻击方式。

XSS 又叫CSS(Cross Site Script，跨站脚本攻击)，是指恶意攻击者在Web 页面里插入恶意HTML 代码。当用户浏览该页时，嵌入其中的HTML 代码会被执行，从而达到恶意攻击的目的。

XSS 属于被动式攻击，因为其被动且不好利用，所以容易被忽略其危害性。

XSS 攻击分成两类：一类是来自内部的攻击，另一类是来自外部的攻击。内部攻击是指利用程序自身的漏洞，构造跨站语句;外部攻击是指自己构造XSS 跨站漏洞网页或者寻找非目标机以外的有跨站漏洞的网页。

(1)GET 方式跨站脚本测试。

GET 方式跨站脚本测试主要是测试以GET 方式提交的请求页面是否存在漏洞。如下面的页面，假设访问的UTL 为http://127.0.0.1:81/testget.php。echo "欢迎您，".$_GET['name'];?>

该页面输出的内容为“欢迎您，[name]”，name 为输入的参数，如输入URL 为http://127.0.0.1:81/testget.php?name=test，页面显示的内容为“欢迎您，test”。

浏览器对网页的展现通过解析HTML 代码来实现，那么如果name 的参数为HTML 代码，结果会怎么样呢?

具体的测试步骤如下：

• 步骤1：将URL 修改为http://127.0.0.1:81/testget.php?name=，如果alert 函数弹出一个hello 对话框，则说明系统存在漏洞。

• 步骤2：如果没有弹出hello 对话框，则需要在页面上单击右键，在弹出菜单中选择“查看源文件”命令，如果源文件的内容为“欢迎您， ”，不管会不会弹出hello对话框，都说明系统存