根据权威部门的调查结果，现在信息安全攻击有75%以上都是发生在Web应用层面而非网络层面。可见Web安全对于企业信息化数据的重要性。而这近8成的攻击几率中，木马无疑是排在前面几位的。不过木马只是一种病毒，其在Web网页中传播，也需要通过一定的媒介。就像非典病毒可以通过唾沫传播一样，需要唾沫这种载体。这其中，跨网站脚本攻击就是木马常用的攻击手段。在这篇文章中，笔者就谈谈跨站脚本攻击的特点以及相关的预防措施，帮助大家来减少Web木马多带来的危害。

　　一、跨站脚本攻击的特点解析

　　跨站脚本攻击域其他攻击手段不同(如SQL注入式攻击)，其是通过Web业务系统所提供服务的客户端。简单的说，就是通过普通用户的客户端，而不是直接通过服务器来发起攻击的。众所周知，可以在Web服务器的周边搭建很多安全设备来提高其安全性。但是客户端有千千万万，而且使用客户端的用户计算机水平又相差很大，要确保每个客户端的安全是不可能完成的任务。现在跨站脚本攻击绕开服务器，从客户端出发，显然其攻击的成功率相比其他攻击手段来说，就会高许多。

　　那么跨站脚本攻击是如何实现的呢?其实攻击的原理也很简单，没有大家想象的那么复杂。攻击者可以在网页中加入恶意代码或者木马，当访问者浏览网页时这个恶意代码就会悄无声息的执行，或者通过向管理员发送信息的方式诱使管理员浏览这个网站，从而获得管理员的帐户信息，并进一步取得管理员的权限，从而实现控制整个网站的目的。当其具有管理员的权限之后，那么攻击者就可以进一步窃取信息、篡改网页、种植木马等攻击行为了。

　　根据以前发生的跨站脚本攻击案例来看，其后果是相当严重的。如有些攻击者利用跨站请求伪造能够抢播用户的浏览器发出非故意的HTTP请求，如具有诈骗性质的电汇请求和下载非法的内容(如木马与病毒)等等请求。再如，还可以盗取用户的各类帐户(如邮箱帐户、ERP系统帐户、服务器帐户)、窃取或者删除企业数据、窃取具有商业价值的资料。更有甚者，攻破了企业的邮箱之后，利用企业的邮箱向客户发送大量的垃圾邮件或者带有病毒的邮件。这大大损害了企业的形象。可见，跨站脚本攻击不仅威胁程度大、涉及面广(可以影响到邮箱、服务器、Web网页等等各种应用)，同时结合其他攻击方法，其攻击的过程也就复杂多变，很难预防。

　　可见，跨站脚本攻击与其它攻击手段相比，主要的特点就是其攻击目标选择的不同。其实通过“明修栈道、暗渡陈仓”的策略。不直接攻击服务器，而是从客户端出发来进行攻击。为此其危害性更大、灵活性更高。