一：XSS跨站脚本攻击
（1）恶意攻击者向WBE页面插入恶意代码（html标签，javascript代码），使用户在浏览网页时，html恶意代码被执行，从而达到盗取用户的cookie信息，会话劫持等行为。
（2）类别
1.DOM xss:文本对象模型，使得DOM可以直接允许程序和脚本动态的访问和更新文档的内容，结构和样式。不需要服务器解析响应的直接参与，触发XSS靠的是浏览器端的DOM解析，可以完全认为这是浏览器的事情。
2.反射型xss：反射型XSS也被称为非持久性的XSS，是现在最容易出现的一种XSS漏洞。发出请求时，XSS代码出现在URL中，最后输入提交到服务器，服务器解析后在响应内容中出现这段XSS代码，最后浏览器解析执行。
3.存储型xss：存储型的XSS也被称为持久性XSS，他是最危险的一种跨站脚本攻击，相比反射型XSS和DOM型XSS具有更高的隐蔽性，所以危害大，他不需要用户手动触发，当攻击者提交一段XSS代码后，被服务器接收并存储起来，当所有浏览器访问某个页面时都会被XSS，其中最典型的例子就是留言板。
（3）危害
1.利用虚假输入表单盗取用户信息
2.利用脚本窃取用户的cookie值。
（4）防御措施
1.在cookie中设置HttpOnly属性，使js脚本无法读取到cookie信息。（后台设置）
2.避免使用eval执行字符串
3.表达输入经行验证，过滤标签，以及转义字符。