XSS
定义：攻击者将恶意script代码插入到web页面中，当用户浏览该页面之时，嵌入web页面中的script代码便会被执行，从而达到恶意攻击用户，盗取用户信息的目的。
反射性XSS：非持久化跨站脚本攻击，被插入到查询或搜索页面，当用户点击时才会触发攻击。
存储型XSS：持久化跨站脚本攻击，在没有过滤或者过滤不严格的情况下代码存储到服务器中，用户访问该页面便会触发该攻击，这种攻击危害严重，会造成蠕虫攻击、cookie泄露等。
原理：
1.攻击者对某含有漏洞的服务器注入JS代码，发起XSS攻击
2.诱使受害者打开受到攻击的服务器URL（邮件、留言）
3.受害者在Web浏览器中打开URL，恶意脚本执行
4.获取cookie，进而登录用户执行恶意操作。
测试方法：
储存型XSS，一般是构造一个比如说"<script>alert("XSS")</script>"的JS的弹窗代码进行测试，看是否提交后在页面弹窗，这种储存型XSS是被写入到页面当中的，如果管理员不处理，那么将永久存在，这种XSS攻击者可以通过留言等提交方式，把恶意代码植入到服务器网站上， 一般用于盗取COOKIE获取管理员的信息和权限。
反射型XSS，一般是在浏览器的输入栏也就是urlget请求那里输入XSS代码，例如：127.0.0.1/admin.php?key="><script>alert("xss")</script>，也是弹窗JS代码。当攻击者发送一个带有XSS代码的url参数给受害者，那么受害者可能会使自己的cookie被盗取或者“弹框“，这种XSS一次性使用，危害比储存型要小很多。
dom型：常用于挖掘，是因为api代码审计不严所产生的，这种dom的XSS弹窗可利用和危害性并不是很大，大多用于钓鱼。比起存储型和反射型，DOM型并不常用。