下列哪一个选项不属于xss跨站脚本漏洞危害

下列哪一个选项不属于xss跨站脚本漏洞危害

先给答案：导致服务器数据库被直接删除，下列项这个选项通常不属于XSS的个选危害范畴。别急着关页面，属于我知道你想问为什么。站脚往下看。本漏

XSS这东西，洞危全称跨站脚本攻击，下列项说白了就是个选攻击者往网页里塞了一段恶意JavaScript代码，其他用户浏览这个页面时，属于代码就在他们浏览器里跑起来了。站脚注意关键词——浏览器。本漏它跟服务器数据库之间还隔着好几层呢。洞危

很多人一看到“攻击”“漏洞”这些词，下列项脑子里立刻浮现出数据库被拖库、个选服务器被格式化的属于画面。这是把XSS和SQL注入搞混了。SQL注入是直接跟数据库对话，你输入的东西被当成SQL语句执行，那确实能把表删了、把数据导走。XSS不干这事。XSS攻击的是其他用户，不是服务器本身。

XSS真正能干什么

最经典的：偷Cookie。用户的登录凭证往往存在Cookie里，恶意脚本一句document.cookie就能把它读出来，发到攻击者服务器上。攻击者拿着这个Cookie就能冒充受害者登录，这叫会话劫持。整个过程服务器完全不知情，它以为请求来自合法用户。

再比如钓鱼。攻击者用JS动态修改页面内容，把登录框的action指向自己的服务器。用户以为在正常登录，实际上账号密码直接送到了攻击者手里。页面URL没变，证书没变，用户根本看不出来。

还有更隐蔽的。恶意脚本可以监听用户的键盘输入，可以篡改页面上的转账账号，可以在后台悄悄发起请求——比如用受害者的身份发一条微博、加一个好友、甚至完成一笔交易。CSRF配合XSS，杀伤力翻倍。

我见过一个真实案例。某论坛存在存储型XSS，攻击者在帖子正文里嵌入脚本。任何浏览该帖的用户，脚本自动执行，把他们的账号密码发送到外部服务器。几天之内，上万用户的凭证泄露。服务器数据库呢？完好无损。但用户数据照样没了——从用户端泄露的。

为什么“删库”不属于XSS

XSS的恶意代码运行在浏览器沙箱里。浏览器沙箱是什么？是浏览器给JavaScript划定的活动范围。在这个范围里，JS能操作DOM、能发网络请求、能读Cookie，但它不能直接执行系统命令，不能直接连接数据库。它跟服务器之间只有HTTP请求这一条通道，而且发出去的请求跟你正常点击按钮发的请求没有本质区别。

服务器收到请求后，该验证权限验证权限，该检查参数检查参数。一个普通用户通过XSS发起的“删除文章”请求，服务器照样会拒绝，因为这个用户本来就没有删除权限。XSS不能凭空提权。

当然，如果服务器本身有漏洞，比如某个接口没有做权限校验，那XSS可以配合这个接口造成更大破坏。但这时候根因是接口漏洞，不是XSS。把锅扣在XSS头上，属于找错了对象。

那XSS的危害到底怎么排

按严重程度大概这么分：会话劫持排第一，直接拿到账号控制权；钓鱼和凭证窃取排第二，用户很难察觉；页面篡改和恶意操作排第三，影响范围有限；至于让服务器崩溃、删数据库这种事，XSS基本做不到。它就是个客户端攻击，破坏力止步于浏览器。

所以回到题目。如果选项里有“窃取用户Cookie”“篡改网页内容”“劫持用户会话”“发起钓鱼攻击”，这些都是XSS的典型危害。唯独“直接删除服务器数据库”不属于。看到这种选项，直接排除，不用犹豫。

搞安全的人有个习惯：先搞清楚一个漏洞不能做什么，比搞清楚它能做什么更重要。边界清楚了，防御才有方向。XSS的边界就在浏览器里，出了这个圈，它没那么大本事。