跨站(zhàn)腳本攻擊（Cross-site scripting，簡稱XSS攻擊），通常發生(shēng)在客戶端，可(kě)被用于進行隐私竊取、釣魚欺騙、密碼偷取、惡意代碼傳播等攻擊行爲。XSS攻擊使用到的技術主要爲HTML和Javascript腳本，也包括VBScript和ActionScript腳本等。
惡意攻擊者将對客戶端有危害的代碼放(fàng)到服務器上作爲一個網頁内容，用戶不經意打開此網頁時，這些惡意代碼會注入到用戶的浏覽器中并執行，從而使用戶受到攻擊。一般而言，利用跨站(zhàn)腳本攻擊，攻擊者可(kě)竊取會話(huà)cookie，從而獲得(de)用戶的隐私信息，甚至包括密碼等敏感信息。
XSS攻擊對Web服務器本身雖無直接危害，但(dàn)是它借助網站(zhàn)進行傳播，對網站(zhàn)用戶進行攻擊，竊取網站(zhàn)用戶賬号信息等，從而也會對網站(zhàn)産生(shēng)較嚴重的危害。XSS攻擊可(kě)導緻以下危害：
釣魚欺騙：最典型的就(jiù)是利用目标網站(zhàn)的反射型跨站(zhàn)腳本漏洞将目标網站(zhàn)重定向到釣魚網站(zhàn)，或者通過注入釣魚JavaScript腳本以監控目标網站(zhàn)的表單輸入，甚至攻擊者基于DHTML技術發起更高級的釣魚攻擊。
網站(zhàn)挂馬：跨站(zhàn)時，攻擊者利用Iframe标簽嵌入隐藏的惡意網站(zhàn)，将被攻擊者定向到惡意網站(zhàn)上、或彈出惡意網站(zhàn)窗(chuāng)口等方式，進行挂馬攻擊。
身份盜用：Cookie是用戶對于特定網站(zhàn)的身份驗證标志，XSS攻擊可(kě)以盜取用戶的cookie，從而利用該cookie盜取用戶對該網站(zhàn)的操作權限。如(rú)果一個網站(zhàn)管理員用戶的cookie被竊取，将會對網站(zhàn)引發巨大的危害。
盜取網站(zhàn)用戶信息：當竊取到用戶cookie從而獲取到用戶身份時，攻擊者可(kě)以盜取到用戶對網站(zhàn)的操作權限，從而查看(kàn)用戶隐私信息。
垃圾信息發送：在社交網站(zhàn)社區中，利用XSS漏洞借用被攻擊者的身份發送大量的垃圾信息給特定的目标群。
劫持用戶Web行爲：一些高級的XSS攻擊甚至可(kě)以劫持用戶的Web行爲，從而監視用戶的浏覽曆史、發送與接收的數據等等。
XSS蠕蟲：借助XSS蠕蟲病毒還(hái)可(kě)以用來打廣告、刷流量、挂馬、惡作劇、破壞網上數據、實施DDoS攻擊等。