跨站腳本攻擊（Cross-site scripting，簡稱XSS攻擊），通常發生在客戶端，可(kě)被用于進行(xíng)隐私竊取、釣魚欺騙、密碼偷取、惡意代碼傳播等攻擊行(xíng)為(wèi)。XSS攻擊使用到的(de)技術主要為(wèi)HTML和(hé)Javascript腳本，也包括VBScript和(hé)ActionScript腳本等。
惡意攻擊者将對客戶端有(yǒu)危害的(de)代碼放到服務器上作為(wèi)一(yī)個網頁內(nèi)容，用戶不經意打開此網頁時，這些惡意代碼會注入到用戶的(de)浏覽器中并執行(xíng)，從而使用戶受到攻擊。一(yī)般而言，利用跨站腳本攻擊，攻擊者可(kě)竊取會話cookie，從而獲得用戶的(de)隐私信息，甚至包括密碼等敏感信息。
XSS攻擊對Web服務器本身雖無直接危害，但是它借助網站進行(xíng)傳播，對網站用戶進行(xíng)攻擊，竊取網站用戶賬号信息等，從而也會對網站産生較嚴重的(de)危害。XSS攻擊可(kě)導緻以下危害：
釣魚欺騙：最典型的(de)就是利用目标網站的(de)反射型跨站腳本漏洞将目标網站重定向到釣魚網站，或者通過注入釣魚JavaScript腳本以監控目标網站的(de)表單輸入，甚至攻擊者基于DHTML技術發起更高(gāo)級的(de)釣魚攻擊。
網站挂馬：跨站時，攻擊者利用Iframe标簽嵌入隐藏的(de)惡意網站，将被攻擊者定向到惡意網站上、或彈出惡意網站窗口等方式，進行(xíng)挂馬攻擊。
身份盜用：Cookie是用戶對于特定網站的(de)身份驗證标志，XSS攻擊可(kě)以盜取用戶的(de)cookie，從而利用該cookie盜取用戶對該網站的(de)操作權限。如(rú)果一(yī)個網站管理(lǐ)員用戶的(de)cookie被竊取，将會對網站引發巨大的(de)危害。
盜取網站用戶信息：當竊取到用戶cookie從而獲取到用戶身份時，攻擊者可(kě)以盜取到用戶對網站的(de)操作權限，從而查看用戶隐私信息。
垃圾信息發送：在社交網站社區中，利用XSS漏洞借用被攻擊者的(de)身份發送大量的(de)垃圾信息給特定的(de)目标群。
劫持用戶Web行(xíng)為(wèi)：一(yī)些高(gāo)級的(de)XSS攻擊甚至可(kě)以劫持用戶的(de)Web行(xíng)為(wèi)，從而監視(shì)用戶的(de)浏覽曆史、發送與接收的(de)數據等等。
XSS蠕蟲：借助XSS蠕蟲病毒還可(kě)以用來打廣告、刷流量、挂馬、惡作劇、破壞網上數據、實施DDoS攻擊等。