本文目录一览：
- 1、当今世界航天技术的最新成果有哪些?
- 2、xss注入漏洞产生的原因？xss注入过程步骤是什么？防范xss注入的 *** 有哪些
- 3、哪有放XSS跨站脚本工具的第三方工具/
- 4、xss 支持Mkv吗
- 5、xss可以玩原神吗
- 6、谁能说一下脚本病毒的原理、攻击流程与防护、、更好详细点呀、网站也好、谢啦、、
当今世界航天技术的最新成果有哪些?
(一) 民用通信卫星仍是重点
2004年，通信卫星仍占据了民用卫星的主要市场。美国通信公司的AMC10、AMC11、AMC15和AMC16通信卫星，将提供电视、广播、互联网和宽带等服务；由美国劳拉空间系统公司制造“电星18”、“电星14”和DIRECTV 7S通信卫星，其中前两颗分别为亚太地区、美洲和北大西洋地区提供民用通信服务，而DIRECTV 7S则将为美国提供娱乐节目和本地信道服务。俄罗斯发射了“快船”AM-11和“快船”AM-1两颗民用通信卫星，它们将用于数字电视、电视 *** 和视频会议等服务。在法国发射升空的加拿大通信卫星公司“阿尼克-F2”通信卫星是迄今为止人类制造和发射的更大通信卫星。国际通信卫星组织发射了采用等离子推进系统进行轨道位置保持的“国际星10-02”通信卫星。为日本提供商业无线电通信服务的“超级鸟6号”通信卫星和日韩共用的首颗移动广播卫星MBSAT都在美国发射升空。欧洲的W3A通信卫星将为欧洲和非洲用户提供商业通信、互联网及电视转播服务。西班牙的“亚马逊1”通信卫星，它将为南美洲、北美洲以及西班牙在内的欧洲西南部地区用户提供电视广播、 *** 、VSAT、数据传输、因特网连接等多种通信服务。印度发射了世界上首颗专门用做教育用途的EDUSAT卫星，也是该国发射的最重的一颗卫星，它将为远程教育提供通信服务。
(二) 军事卫星不断加强
2004军事卫星仍主要集中在美国和俄罗斯两个航天大国，两国除分别完善其GPS和“格洛纳斯”导航卫星系统外，还发射了多颗秘密军事卫星。美国发射了GPS 2R-11、GPS 2R-12、GPS2R-13 3颗GPS卫星，NRO秘密侦察卫星，以及用于导弹告警的DSP 22卫星。俄罗斯共发射了7颗军用卫星，其中包括3颗“宇宙”系列秘密军用卫星和3颗“格洛纳斯”导航卫星，以及一颗用于俄罗斯军事演习的秘密军事卫星。
军事卫星另一重要领域军用小卫星技术也得到各国的关注。美国国防部相继推出了“微型卫星动能杀伤有效载荷(MKKP)”和“实验卫星系列(XSS)”两个微型卫星计划；由英国国防部和英国国家航天中心共同出资研制的“战术光学卫星”将于2005年上半年发射升空。
(三) “先兆”地球观测卫星成功发射
2004年7月15日，美国最新的地球观测系统(EOS)卫星“先兆”被成功送入700公里高的预定轨道。“先兆”是为NASA建造的第二颗地球观测系统卫星，设计寿命为6年，其主要任务是了研究大气成分，测定污染物的移动和平流层臭氧的恢复情况以及对气候变化的影响。该卫星与已经发射升空的“陆地”卫星及“水”卫星等一起组成了美国的地球观测系统。
(四) 中国卫星技术蓬勃发展
2004年是中国航天史上创纪录的一年，全年分别在酒泉、西昌、太原三大发射场进行了8次发射，共把10颗卫星送入太空，它们分别为：试验卫星1号、纳星1号、探测2号、第19颗和第20颗返回式卫星、实践6号A和实践6号B、风云2号气象卫星C星、资源2号卫星、试验卫星2号。其中，“探测2号”卫星的发射升空标志着我国实施的“地球空间双星探测计划”取得圆满成功。该卫星将与2003年发射的“探测1号”一起，与欧洲空间局“磁层探测计划”的4颗卫星联合布网，将实现人类历史上首次对地球空间的6点立体探测。试验卫星1号、2号和纳星1号3颗小卫星的成功发射升空说明中国航天技术在小卫星研制领域又取得新的进展。我国首颗电视直播卫星鑫诺2号的研制工作也进展顺利，并计划于2005年5月发射升空。该卫星将大大促进中国卫星业的发展，并推动国内卫星电视直播产业的形成和发展。2004年10月9日，我国和欧盟正式签署了欧洲民用卫星导航“伽利略”计划的技术合作协议，中国将出资2亿欧元，并承担部分卫星的发射任务，对该系统有20%的拥有权和100%的使用权，这将对我国卫星导航事业的发展起到重要的促进作用。2004年12月14日，世界更大的小卫星研制试验基地——小卫星及其应用国家工程研究中心在北京航天城落成，其设计能力为年产6~8颗卫星，该中心的成立将大大促进我国小卫星及微小卫星技术的发展。
中国国家航天局局长孙来燕表示，我国卫星技术未来发展的重点是建立长期稳定运行的对地观测体系，分阶段实现对中国周边地区乃至全球陆地、大气、海洋的立体观测和动态监测。
三、国际空间站艰难维护
(一) 俄罗斯成为维护国际空间站的主力
由于2003年美国“哥伦比亚号”航天飞机的失事，美国的航天飞机停飞，俄罗斯成为唯一能向国际空间站运送宇航员和货物的国家，致使国际空间站的维护产生了一定的困难。2004年，俄罗斯共向国际空间站进行了6次发射，其中“奋进号”飞船向空间站运送了4次货物，“联盟号”飞船进行两次载人飞行，俄罗斯无疑已成为了国际空间站维护的主角。另外，布什于2004年提出2010年完成国际空间站美国承担的建造任务后，美国将退出空间站的项目，这也给国际空间站未来的发展带来了负面影响。
(二) 国际空间站科学研究成果显著
由于运力的不足，2004年国际空间站的宇航员克服食物和饮用水短缺等困难，取得了丰硕的科研成果。2004年4月30日返回的国际空间站第8次长期考察，该考察组的卡列里和福阿莱在太空轨道上进行了20多项长期实验。为准备未来进行火星载人飞行，他们在国际空间站上进行了人体模型试验，测试长期火星载人飞行过程中，太空辐射对人体器官的影响等。2004年10月14日，国际空间站第9次长期考察返回，宇航员帕达尔卡和芬克成功地进行了4次太空行走。前两次成功地将4个大型陀螺仪中的一个恢复供电，使重达200吨的国际空间站能够在飞行中保持稳定，并将太阳能电池板对准太阳。第三次是在“曙光号”功能舱外安装由数个激光反射器组成的激光系统。第4次出舱的主要任务则是在“星辰号”服务舱外安装3个天线。此外，他们还在空间站上进行了约40次科学实验，带回了国际空间站内的一些实验数据和材料，其中包括其培育的第二代太空豌豆种子。另外，由焦立中和沙里波夫组成的第十次长期考察团将在空间站工作196天，在此期间他们将进行大量科学试验，其中包括艾滋病疫苗效果观察等。他们将于2005年1月和3月分别进行两次太空行走，并为迎接明年恢复飞行的美国航天飞机再次飞抵国际空间站做准备工作。
四、地球轨道探测器喜忧参半
(一) “哈勃”太空望远镜将终结使命
“哈勃”太空望远镜无疑是世界上最著名的太空观测设备，它经过了4次维修，已在太空服务了14年之久。由于2004年年初美国对其航天计划进行了调整，宣布将不再对“哈勃”天文望远镜进行维修，使得这一为人类天文事业作出重大贡献的望远镜将不得不于2007～2008年间退出历史舞台。这件事引起了世界各方面的争论，无论如何，在新的设备发射升空以前，这一重要探测设备的退役无疑将给人类对宇宙的探测带来一定的损失。
(二) 新型太空望远镜“詹姆斯.韦伯”仍在研制之中
1996年，美国正式开始了将取代“哈勃”的新一代太空望远镜“詹姆斯·韦伯”的研制工作。“詹姆斯·韦伯”太空望远镜预计造价8.2亿美元，设计寿命为5～10年，它将于2011年8月发射升空。该望远镜将携带一台红外摄像机、一台近红外光谱摄制仪以及一台组合式中红外摄像机与光谱摄制仪，将被发射到距地球150万公里的高空。由于距离地球太远，无法派人进行维修，因而其设计制造要求极高。
(三) “引力探测B”升空引人关注
2004年4月20日，由美国国家航空航天局和斯坦福大学联合研制，耗时45年，耗资7亿多美元的“引力探测B”终于被送入预定的太空轨道，抵达预定工作位置后，还需要2个月的时间进行准备，然后开始长达16个月的测量。这次成功发射意味着美国验证爱因斯坦广义相对论长达45年的梦想终于变成了现实。“引力探测B”是NASA执行的纯研究项目之一，旨在通过测量地球引起的时空弯曲和地球旋转引起的时空扭曲以验证爱因斯坦广义相对论。该探测器将帮助科学家更好地了解宇宙的基本结构，以及更清晰地认识物质世界和相对论间的关系。
(四) “雨燕”伽马射线探测器升空
2004年11月20日，耗资2.5亿美元，由美国航空航天局和意大利、英国的航天部门联合发起研制的“雨燕”伽马射线探测器经多次推迟后终于成功发射升空。该探测器仅重1470千克，配有三台望远镜，能够在捕捉到伽马风暴后的最短时间内进行暴源和余辉的多波段观测。据称“雨燕”是有史以来旋转速度最快的太空科学探测器，可以完成探究伽马风暴的起源、甄别伽马风暴的类别、研究伽马风暴的演化等任务，从而为揭开宇宙中黑洞形成之迷搜索进一步的证据。
五、2005年深空探测仍是热点
由于2004年美国“勇气号”和“机遇号”探测器成功登陆火星，深空探测仍将成为2005年世界航天技术研究的热点。2005年1月8日，日本宣布新的太空计划，其核心内容是在月球表面建立无人太空基地，以及在比月球更远的地方建立“深层空间站”等。1月12日，美国成功发射了“深入撞击号”探测器，该探测器将在几个月的飞行后，于7月4日抵达“坦普尔1号”彗星。届时，它将释放一个小型撞击舱以时速37000公里撞击彗核，同时利用观测舱记录下碰撞的全过程并对飞散出的各种物质进行详细分析。1月14日，欧空局的“惠更斯”着陆器成功登陆“土卫六”，并开始向母船“卡西尼”发送数据。5月12号，美国“发现号”航天飞机将开始执行自2003年“哥伦比亚号”失事后的首次飞行任务。8月10日，美国航空航天局将发射旨在寻求火星是否有水的证据的火星侦察探测器。10月26日，欧洲将发射“金星快船”探测器，执行地球近邻金星的无人探测任务。中国也将在2005年下半年发射“神舟六号”载人飞船。
xss注入漏洞产生的原因？xss注入过程步骤是什么？防范xss注入的 *** 有哪些
对于的用户输入中出现XSS漏洞的问题，主要是由于开发人员对XSS了解不足，安全的意识不够造成的。现在让我们来普及一下XSS的一些常识，以后在开发的时候，每当有用户输入的内容时，都要加倍小心。请记住两条原则：过滤输入和转义输出。
一、什么是XSS
XSS又叫CSS (Cross Site Script) ，跨站脚本攻击。它指的是恶意攻击者往Web页面里插入恶意html代码，当用户浏览该页之时，嵌入其中Web里面的html代码会被执行，从而达到恶意的特殊目的。XSS属于被动式的攻击，因为其被动且不好利用，所以许多人常呼略其危害性。
在WEB2.0时代，强调的是互动，使得用户输入信息的机会大增，在这个情况下，我们作为开发者，在开发的时候，要提高警惕。
二、XSS攻击的主要途径
XSS攻击 *** 只是利用HTML的属性，作各种的尝试，找出注入的 *** 。现在对三种主要方式进行分析。
之一种：对普通的用户输入，页面原样内容输出。
打开(限公司IP)，输 入：scriptalert(‘xss’)/script， *** 脚本顺利执行。当攻击者找到这种 *** 后，就可以传播这种链接格式的链接 （）如：http: //go.ent.163.com/goproducttest/test.jsp?key=scriptalert(‘xss’) lt;/script，并对 *** CODE做适当伪装，如：
%74%3e%61%6c%65%72%74%28%27%78%73%73%27%29%3c%2f%73%63%72%69%70%74%3e,当其 它用户当点此链接的时候， *** 就运行了，造成的后果会很严重，如跳去一个有木马的页面、取得登陆用户的COOKIE等。
第二种：在代码区里有用户输入的内容
原则就是，代码区中，绝对不应含有用户输入的东西。
第三种：允许用户输入HTML标签的页面。
用户可以提交一些自定义的HTML代码，这种情况是最危险的。因为，IE浏览器默认采用的是UNICODE编码，HTML编码可以用ASCII方式来写，又可以使用”/”连接16进制字符串来写，使得过滤变得异常复杂，如下面的四个例子，都可以在IE中运行。
1，直接使用 *** 脚本。
img src=”javascript:alert(‘xss’)” /
2，对 *** 脚本进行转码。
img src=”javascript:alert(‘xss’)” /
3，利用标签的触发条件插入代码并进行转码。
img onerror=”alert(‘xss’)” /
4，使用16进制来写(可以在傲游中运行)
img STYLE=”background-image: /75/72/6c/28/6a/61/76/61/73/63/72/69/70/74/3a/61/6c/65/72/74/28/27/58/53/53/27/29/29″
以上写法等于img STYLE=”background-image: url(javascript:alert(‘XSS’))”
三、XSS攻击解决办法
请记住两条原则：过滤输入和转义输出。
具体执行的方式有以下几点：
之一、在输入方面对所有用户提交内容进行可靠的输入验证，提交内容包括URL、查询关键字、http头、post数据等
第二、在输出方面，在用户输内容中使用XMP标签。标签内的内容不会解释，直接显示。
第三、严格执行字符输入字数控制。
四、在脚本执行区中，应绝无用户输入。
哪有放XSS跨站脚本工具的第三方工具/
不修改网站程序,使用第三方工具来防范XSS跨站式脚本攻击
网站要怎么防范常见的XSS跨站式脚本攻击呢，我们先从XSS跨站式脚本攻击的原理来说起。
网站遭受XSS跨站式脚本攻击的基本原理
1.本地利用漏洞，这种漏洞存在于页面中客户端脚本自身。
其攻击过程如下所示：
A给B发送一个恶意构造了Web的URL。
B点击并查看了这个URL。
恶意页面中的JavaScript打开一个具有漏洞的HTML页面并将其安装在B电脑上。
具有漏洞的HTML页面包含了在B电脑本地域执行的JavaScript。
A的恶意脚本可以在B的电脑上执行B所持有的权限下的命令。
2反射式漏洞，这种漏洞和本地利用漏洞有些类似，不同的是Web客户端使用Server端脚本生成页面为用户提供数据时，如果未经验证的用户数据被包含在页面中而未经HTML实体编码，客户端代码便能够注入到动态页面中。
其攻击过程如下：
A经常浏览某个网站，此网站为B所拥有。B的站点运行A使用用户名/密码进行登录，并存储敏感信息（比如银行帐户信息）。
C发现B的站点包含反射性的XSS漏洞。
C编写一个利用漏洞的URL，并将其冒充为来自B的邮件发送给A。
A在登录到B的站点后，浏览C提供的URL。
嵌入到URL中的恶意脚本在A的浏览器中执行，就像它直接来自B的服务器一样。此脚本盗窃敏感信息（授权、信用卡、帐号信息等）然后在A完全不知情的情况下将这些信息发送到C的Web站点。
3存储式漏洞，该类型是应用最为广泛而且有可能影响到Web服务器自身安全的漏洞，骇客将攻击脚本上传到Web服务器上，使得所有访问该页面的用户都面临信息泄漏的可能，其中也包括了Web服务器的管理员。
其攻击过程如下：
B拥有一个Web站点，该站点允许用户发布信息/浏览已发布的信息。
C注意到B的站点具有存储式的XXS漏洞。
C发布一个热点信息，吸引其它用户纷纷阅读。
B或者是任何的其他人如A浏览该信息，其会话cookies或者其它信息将被C盗走。
类型A直接威胁用户个体，而类型B和存储式漏洞所威胁的对象都是企业级Web应用。
网站遭受XSS跨站式脚本攻击的基本方式
1. DOM-based cross-site scripting
页面本身包含一些DOM对象的操作，如果未对输入的参数进行处理，可能会导致执行恶意脚本。如下面一些DOM操作：
document.URL
document.URLUnencoded
document.location (and many of its properties)
document.referrer
window.location (and many of its properties)
举个例子，假如某个脆弱的页面的代码如下：
HTML
TITLEWelcome!/TITLE
Hi
SCRIPT
var pos=document.URL.indexOf("name=")+5;
document.write(document.URL.substring(pos,document.URL.length));
/SCRIPT
BR
Welcome to our system
…
/HTML
攻击者使用如下的URL访问时，则非常危险：
;scriptalert(document.cookie)/script
试了一下，貌似IE、FireFox等浏览器默认 对scriptalert(document.cookie)/script进行了编码，阻止了脚本的执行。但是对于 DOM操作还是要更加谨慎啊，比如把上面的页面修改一下，安全性就增强了不少：
SCRIPT
var pos=document.URL.indexOf("name=")+5;
var name=document.URL.substring(pos,document.URL.length);
if (name.match(/^[a-zA-Z0-9]$/))
{
document.write(name);
}
else
{
window.alert("Security error");
}
/SCRIPT
2. Reflected cross-site scripting
也被称为None-Persistent cross-site scripting，即，非持久化的XSS攻击，是我们通常所说的，也是最常用，使用最广的一种方式。它通过给别人发送带有恶意脚本代码参数的URL，当 URL地址被打开时，特有的恶意代码参数被HTML解析、执行。它的特点是非持久化，必须用户点击带有特定参数的链接菜能引起。
3. Persistent cross-site scripting
持久化XSS攻击，指的是恶意脚本代码被存储进被攻击的数据库，当其他用户正常浏览网页时，站点从数据库中读取了非法用户存入非法数据，恶意脚本代码被执行。这种攻击类型通常在留言板等地方出现。
实施方式
我们来试一把Reflected cross-site scripting。当我们在某网站输入参数XXX，发现参数XXX原样的出现在了页面源码中：
1. input type="text" class="5bab-d7aa-489b-b8f4 Seach" name="w" value="XXX" /
OK，可以开始做文章了，我们将XXX替换为：abc"/scriptalert('haha')/scripta href="，返回的HTML代码如下：
1. input type="text" class="d7aa-489b-b8f4-134b Seach" name="w" value="abc"/
2. scriptalert('haha')/script!--" /
这样，scriptalert('haha')/script被执行了。这里再举例一些XSS攻击行为：
1. IMG SRC="javascript:alert('XSS');"
2. IMG SRC=javascript:alert('XSS')
3. IMG SRC="javascript:alert(String.fromCharCode(88,83,83))"
4. IMG SRC="jav ascript:alert('XSS');"
5. SCRIPT/XSS SRC=""/SCRIPT
6. SCRIPTalert("XSS");///SCRIPT
7. iframe src=
8. INPUT TYPE="IMAGE" SRC="javascript:alert('XSS');"
9. BODY BACKGROUND="javascript:alert('XSS')"
10. BODY ONLOAD=alert(document.cookie)
11. BODY onload!#$%()*~+-_.,:;?@[/|"]^`=alert("XSS")
12. IMG DYNSRC="javascript:alert('XSS')"
13. IMG DYNSRC="javascript:alert('XSS')"
14. BR SIZE="{alert('XSS')}"
15. IMG SRC='vbscript:msgbox("XSS")'
16. TABLE BACKGROUND="javascript:alert('XSS')"
17. DIV STYLE="width: expression(alert('XSS'));"
18. DIV STYLE="background-image: url(javascript:alert('XSS'))"
19. STYLE TYPE="text/javascript"alert('XSS');/STYLE
20. STYLE type="text/css"BODY{background:url("javascript:alert('XSS')")}/STYLE
21. ?='SCRIPTalert("XSS")/SCRIPT'?
22. A HREF="javascript:document.location=''"XSS/A
23. IMG SRC=javascript:alert('XSS')
24. EMBED SRC="" AllowScriptAccess="always"/EMBED
25. a="get";
26. b="URL(""";
27. c="javascript:";
28. d="alert('XSS');"")";
29. eval(a+b+c+d);
总结一下，要防止XSS跨站式脚本攻击主要是要在查询字符串(QueryString)，表单数据（PostData）以及Cookie甚至HTTP报头（Header）中防止掉一些javascript关键字和一些敏感的字符（单引号，分号）以及SQL语言的关键字，以及防止他们使用encode编码。
用ASP或者PHP脚本来实现上面的这些想起来就很麻烦。下面就来介绍下用一个第三方工具IISUTM来处理上面我们说到的问题。
准备工作：先去下载最新的IISUTM版本。
根据IISUTM网站防火墙安装及操作手册 中的说明把IISUTM部署到你的服务器上来，这里需要注意的是使用Windows 2003+iis6的服务器，需要开启iis中“以IIS5.0 隔离模式运行 www 服务”选项才能正常使用该软件。
安装完成，通过浏览器访问IISUTM的配置管理界面默认的是，这个是私有地址，只能在该服务器 *** 问，你需要任何地方都能访问的话，可以在安装的时候IP地址的选项那里填入你服务器的公网IP地址，和你所开放的端口。这样你就可以通过你配置的地址进行访问，或者你可以在iis中直接管理名为IISUTM的站点。
登陆管理界面后点击上面导航栏中的“基本设置”，然后点击左边菜单的“防XSS攻击”链接。
开启该链接里所有的选项，选中之后IISUTM会自动保存配置，下面的“使用不允许的发送序列”是该软件提供的XSS攻击关键字的特征库，你可以根据你网站的情况进行更改（更好不要修改）。
确认以上的配置以后，你可以返回到IISUTM管理界面的首页，这里会列出最近服务器遭受到的攻击以及详细，赶紧去看看你的网站是不是随时有人在进行SQL注入吧，以及哪些攻击被IISUTM处理掉了。
xss 支持Mkv吗
xshot手机支持的视频格式为：avi、mp4、3gp、wmv。
扩展知识：vivo 是专注于智能手机领域的国际化品牌，vivo 追求乐趣、充满活力、专业音质、极致影像、愉悦体验的智能产品，并将敢于追求极致、持续创造惊喜作为 vivo 的坚定追求。
2014年 vivo 品牌的国际化之路全面开启，除中国大陆市场外，vivo 进驻的海外市场包含印度、泰国、缅甸、马来西亚、印度尼西亚、越南和菲律宾。
2016-2017年，vivo 正式成为 NBA 中国官方合作伙伴。
2016年底，vivo 高层在媒体沟通会上透露，将在国内外成立研发中心，国内部分有深圳、东莞、南京、杭州和北京，而在国外将在美国硅谷与圣地亚哥设研发中心。
xss可以玩原神吗
xss可以玩原神。原神有IOS端，玩家可以直接在XSS上的苹果应用里下载该游戏。《原神》是由上海米哈游 *** 发行的一款开放世界冒险游戏。
在数据方面，同在官方服务器的情况下，iOS、PC、Android平台之间的账号数据互通，玩家可以在同一账号下切换设备。
原神玩家的注意事项。
玩家在玩原神的时候要注意，玩家冒险等阶达到16级后会开启多人游戏选项，可以与同区服的玩家进行联机，支持最多4人在线联机。联机的玩家将进入房主的世界，其他三名玩家可以在房主的世界中获取各种材料，也可以共同挑战秘境，但无法与NPC进行互动。如果玩家进行主线任务或特殊任务时，将无法进行多人游戏。
谁能说一下脚本病毒的原理、攻击流程与防护、、更好详细点呀、网站也好、谢啦、、
通过对xss跨站脚本攻击漏洞的历史、攻击特点、攻击原理描述及案例代码实战举例详细解析XSS漏洞攻击技术，并提出防御XSS跨站漏洞的思路 *** 。及WEB开发者开发网站过程中防范编码中产生xss跨站脚本攻击漏洞需要注意的事项。
XSS漏洞概述：
XSS(Cross Site Script)跨站点脚本攻击是一种注射的问题，在这种恶意脚本注入否则良性和信任的网站类型。跨站点脚本（XSS）攻击，攻击者使用时，会出现一个 *** 应用程序发送恶意代码，一般是在浏览器端脚本的形式，向不同的最终用户。这些缺陷，使攻击成功是相当普遍，发生在任何地方从一个Web应用程序使用在输出它没有验证或编码了用户输入。攻击者可以使用XSS的恶意脚本发送到一个毫无戒心的用户。最终用户的浏览有没有办法知道该脚本不应该信任，将执行该脚本。因为它认为该脚本来从一个受信任的源，恶意脚本可以访问任何Cookie，会话令牌，或其他敏感信息的浏览器保留，并与该网站使用。 甚至可以重写这些脚本的HTML网页的内容。
XSS漏洞历史：
XSS(Cross-site scripting)漏洞最早可以追溯到1996年，那时电子商务才刚刚起步，估计那时候国内很少人会想象到今天出现的几个国内电子商务巨头 *** 、当当、亚马逊（卓越）。XSS的出现“得益”于JavaScript的出现，JavaScript的出现给网页的设计带来了无限惊喜，包括今天风行的AJAX(Asynschronous JavaScript and XML)。同时，这些元素又无限的扩充了今天的 *** 安全领域。
XSS 漏洞攻击特点：
（1）XSS跨站漏洞种类多样人：
XSS攻击语句可插入到、URL地址参数后面、输入框内、img标签及DIV标签等HTML函数的属人里、Flash的getURL()动作等地方都会触发XSS漏洞。
（2）XSS跨站漏洞代码多样人：
为了躲避转义HTML特殊字符函数及过滤函数的过滤，XSS跨站的代码使用“/”来代替安字符“””、使用Tab键代替空格、部分语句转找成16进制、添加特殊字符、改变大小写及使用空格等来绕过过滤函数。
如果在您的新闻系统发现安全漏洞，如果该漏洞是一个SQL 注入漏洞，那么该漏洞就会得到您的网站管理员密码、可以在主机系统上执行shell命令、对数据库添加、删除数据。如果在您的新闻或邮件系统中发现安全漏洞，如果该漏洞是一个XSS跨站漏洞，那么可以构造一些特殊代码，只要你访问的页面包含了构造的特殊代码，您的主机可能就会执行木马程序、执行^***Cookies代码、突然转到一个银行及其它金融类的网站、泄露您的网银及其它账号与密码等。
XSS攻击原理：
XSS 属于被动式的攻击。攻击者先构造一个跨站页面，利用script、IMG、IFRAME等各种方式使得用户浏览这个页面时，触发对被攻击站点的http 请求。此时，如果被攻击者如果已经在被攻击站点登录，就会持有该站点cookie。这样该站点会认为被攻击者发起了一个http 请求。而实际上这个请求是在被攻击者不知情的情况下发起的，由此攻击者在一定程度上达到了冒充被攻击者的目的。精心的构造这个攻击请求，可以达到冒充发文，夺取权限等等多个攻击目的。在常见的攻击实例中，这个请求是通过script 来发起的，因此被称为Cross Site Script。攻击Yahoo Mail 的Yamanner 蠕虫是一个著名的XSS 攻击实例。Yahoo Mail 系统有一个漏洞，当用户在web 上察看信件时，有可能执行到信件内的javascript 代码。病毒可以利用这个漏洞使被攻击用户运行病毒的script。同时Yahoo Mail 系统使用了Ajax技术，这样病毒的script 可以很容易的向Yahoo Mail 系统发起ajax 请求，从而得到用户的地址簿，并发送病毒给他人。
XSS 攻击主要分为两类：一类是来自内部的攻击，主要指的是利用WEB 程序自身的漏洞，提交特殊的字符串，从而使得跨站页面直接存在于被攻击站点上，这个字符串被称为跨站语句。这一类攻击所利用的漏洞非常类似于SQL Injection 漏洞，都是WEB程序没有对用户输入作充分的检查和过滤。上文的Yamanner 就是一例。
另一类则是来来自外部的攻击，主要指的自己构造XSS 跨站漏洞网页或者寻找非目标机以外的有跨站漏洞的网页。如当我们要渗透一个站点，我们自己构造一个跨站网页放在自己的服务器上，然后通过结合其它技术，如社会工程学等，欺骗目标服务器的管理员打开。这一类攻击的威胁相对较低，至少ajax 要发起跨站调用是非常困难的。