跨站腳本攻擊（Cross-site scripting，簡稱XSS攻擊），通常發生(shēng)在客戶端，可被用于進行隐私竊取、釣魚欺騙、密碼偷取、惡意代碼傳播等攻擊行爲。XSS攻擊使用到的技術主要爲HTML和Javascript腳本，也包括VBScript和ActionScript腳本等。
惡意攻擊者将對客戶端有危害的代碼放(fàng)到服務器上作爲一(yī)個網頁内容，用戶不經意打開(kāi)此網頁時，這些惡意代碼會注入到用戶的浏覽器中(zhōng)并執行，從而使用戶受到攻擊。一(yī)般而言，利用跨站腳本攻擊，攻擊者可竊取會話(huà)cookie，從而獲得用戶的隐私信息，甚至包括密碼等敏感信息。
XSS攻擊對Web服務器本身雖無直接危害，但是它借助網站進行傳播，對網站用戶進行攻擊，竊取網站用戶賬号信息等，從而也會對網站産生(shēng)較嚴重的危害。XSS攻擊可導緻以下(xià)危害：
釣魚欺騙：最典型的就是利用目标網站的反射型跨站腳本漏洞将目标網站重定向到釣魚網站，或者通過注入釣魚JavaScript腳本以監控目标網站的表單輸入，甚至攻擊者基于DHTML技術發起更高級的釣魚攻擊。
網站挂馬：跨站時，攻擊者利用Iframe标簽嵌入隐藏的惡意網站，将被攻擊者定向到惡意網站上、或彈出惡意網站窗口等方式，進行挂馬攻擊。
身份盜用：Cookie是用戶對于特定網站的身份驗證标志(zhì)，XSS攻擊可以盜取用戶的cookie，從而利用該cookie盜取用戶對該網站的操作權限。如果一(yī)個網站管理員(yuán)用戶的cookie被竊取，将會對網站引發巨大(dà)的危害。
盜取網站用戶信息：當竊取到用戶cookie從而獲取到用戶身份時，攻擊者可以盜取到用戶對網站的操作權限，從而查看用戶隐私信息。
垃圾信息發送：在社交網站社區中(zhōng)，利用XSS漏洞借用被攻擊者的身份發送大(dà)量的垃圾信息給特定的目标群。
劫持用戶Web行爲：一(yī)些高級的XSS攻擊甚至可以劫持用戶的Web行爲，從而監視用戶的浏覽曆史、發送與接收的數據等等。
XSS蠕蟲：借助XSS蠕蟲病毒還可以用來打廣告、刷流量、挂馬、惡作劇、破壞網上數據、實施DDoS攻擊等。