跨站腳本

跨站腳本（XSS）概述

跨站腳本（XSS）是一種常見的 Web安全 漏洞，攻擊者可將惡意 JavaScript 腳本注入網頁中，當受害者瀏覽該頁面時，腳本會在其瀏覽器內執行，進而竊取 Cookie、會話標識或其他敏感資料。攻擊形式主要分為儲存型、反映型與 DOM 型三種。

攻擊原理

1. 儲存型 XSS：攻擊者先將惡意程式碼寫入資料庫，頁面載入時直接輸出。
2. 反映型 XSS：將使用者輸入的回應未經 HTML 編碼即回傳給瀏覽器。
3. DOM 型 XSS：透過 JavaScript 修改 DOM 結構而不經伺服器端處理。

防範方式

• 對所有輸出資料進行 HTML 編碼或 URL 編碼，避免未經授權的指令執行。
• 使用白名單過濾特殊字元，防止腳本注入。
• 啟用內容安全策略（CSP），限制可載入的資源來源。
• 定期進行 漏洞 掃描與 安全編碼 訓練。

實際案例

常見的攻擊案例包括在論壇發表的 <script>alert('XSS')</script> 或透過圖片屬性注入 JavaScript 事件。若未做好輸入驗證與輸出編碼，將導致會話綁架、帳號盜用等風險。

小結

XSS 防範需要從輸入、輸出、伺服器端與客戶端多層次著手，結合 HTTPS 加密傳輸與嚴格的 CSP 政策，方能有效降低風險。