Self-XSS（英语：self cross-site scripting），又称“Self型跨站脚本攻击”，是一种可以获得受害者网络账号的社会工程学攻击手段。在Self-XSS攻击中，受害者无意中在浏览器里运行了恶意代码，通过一种称为跨站脚本的漏洞将个人信息暴露给攻击者。[1]
概述
Self-XSS通过诱骗用户将恶意内容复制并粘贴到浏览器的Web开发者控制台进行攻击。[1]通常，攻击者会发布一条消息，称通过复制和运行某些代码，用户将能够入侵另一个用户的帐户。实际上，该代码允许攻击者劫持受害者的帐户。[2]
历史与预防手段
过去也有出现类似的攻击手段，即诱骗用户将恶意JavaScript代码粘贴到地址栏中。当浏览器厂商通过阻止从地址栏中轻松运行 JavaScript 来阻止这一攻击时，[3][4]攻击者开始使用如今的Self-XSS。Web浏览器厂商已经采取措施预防这一攻击。Firefox[5]以及Google Chrome[6]通过在浏览器控制台中警告用户防止Self-XSS攻击。Facebook等网站在用户打开控制台时显示警告消息，并附有链接解释这一攻击的原理。[7][8]
词源
名词中的“self”指的是用户攻击自己的事实。“XSS”是跨站脚本的缩写。XSS和Self-XSS攻击都会导致在合法站点上运行恶意代码。然而，这两种攻击手段没有太多共同点，因为 XSS 是针对网站本身的攻击（用户无法保护自己，但可以由网站运营商修复，使他们的网站更安全），而 Self-XSS 是一种针对用户的社会工程攻击（精明的用户可以保护自己免受攻击，但网站运营商对此无能为力）。[9]
参考资料
外部链接
Wikiwand in your browser!
Seamless Wikipedia browsing. On steroids.
Every time you click a link to Wikipedia, Wiktionary or Wikiquote in your browser's search results, it will show the modern Wikiwand interface.
Wikiwand extension is a five stars, simple, with minimum permission required to keep your browsing private, safe and transparent.
