xss是由于Web应用程序对用户的输入过滤不足而产生。xss攻击就是将非法的JavaScript、VBscript等脚本注入到用户浏览的网页上执行，Web浏览器只负责解释和执行JavaScript等脚本语言，不会判断代码本身是否对用户有害。
XSS的分类
1.反射型xss
【攻击的是用户浏览器】
主要用于将恶意脚本附加到URL地址的参数中。（恶意代码暴露在URL参数中，攻击者会通过各种编码转换解决，或者分别使用十进制、十六进制、ESCAPE等各种编码形式迷惑用户）
反射型xss的利用一般是攻击者通过特定手法诱使用户去访问一个含恶意代码的URL。只在用户单击时触发，而且只执行一次，非持久化。
通常出现在网站的搜索栏，用户登入口等地方，常用来窃取客户端Cookies或进行钓鱼欺骗。
2.持久型xss
【攻击的是Web服务器】
等于存储型跨站脚本，可能影响到web服务器自身的安全。
不需要用户单击特定URL就能执行跨站脚本，攻击者事先见恶意JavaScript代码上传或存储到漏洞服务器中，只要受害者浏览包含此恶意JavaScript代码的页面就会执行恶意代码。
一般出现在网站的留言、评论、博客日志等交互处，恶意脚本被存储到客户端或服务器的数据库中，当其他用户浏览该网页时，站点即从数据库中读取恶意用户存入的非法数据，然后显示在页面中。