XSS(Cross-Site Scripting)

即跨站脚本攻击，这类攻击发生在客户端，是攻击者将恶意代码注入到Web客户端，从而影响到其他浏览此Web界面的用户

注入的恶意代码包括:
一危险的HTML标签、客户端脚本、其它能执行JS的容器等
大多数时候与JavaScript有关

注入源:
form: post/get
url parameters
cookie
header
html媒体文件的内容
只要是输入点都可以是注入源

哪里可能存在xss？
HTML本身:HTML元素、元素属性、CSS等
XML文档
Flash
客户端软件:QQ2009、office、 rar自解压等
HTML上的一些媒体元素
wmf, word, pdf ,applet...