本节书摘来自异步社区《XSS跨站脚本攻击剖析与防御》一书中的第6章6.1节参 考 文 献，作者邱永华,更多章节内容可以访问云栖社区“异步社区”公众号查看。
参 考 文 献XSS跨站脚本攻击剖析与防御[1] 《精通 JavaScript》 （美）John Resi /陈贤安（译）
[2] 《JavaScript核心技术》 （美）Shelley Powers /苏敬凯（译）
[3] 《XSS Attacks: Cross Site Scripting Exploits and Defense》Seth Fogie/Jeremiah Grossman/Robert Hansen/Anton Rager/Petko D. Petkov
[4] 《The Web Application Hacker's Handbook: Discovering and Exploiting Security Flaws》/《黑客攻防技术宝典——Web实战篇》Dafydd Stuttard / Marcus Pinto/石华耀（译）
[5] 《老树开新花，再看 HTTP Response Splitting 攻击》 刺
[6] 《Anehta高级XSS攻击技术》 刺
[7] 《JavaScript Hijacking》 Brian Chess/Yekaterina Tsipenyuk O'Neil/Jacob West
[8] 《JSON Hijacking》 Phil Haack
[9] 《IE下MHTML协议带来的跨域危害》 暗夜潜风（d4rkwind）
[10] 《Subverting Ajax》 Stefano Di Paola/Giorgio Fedon
[11] 《Universal PDF XSS After Party》 Petko D. Petkov（pdp）
[12] 《Backdooring QuickTime Movies》 Petko D. Petkov（pdp）
[13] 《about utf7-BOM string injection》 SuperHei
[14] 《Data:_URI_scheme》 SuperHei
[15] 《IE是怎么处理meta steam的编码的 && 那100+个xss》 linx
[16] 《聚合采集器XSS攻击》 空虚浪子心
[17] 《DOM Based Cross Site Scripting or XSS of the Third Kind》 Amit Klein
[18] 《DOM based Cross-site Scripting vulnerabilities 》 Tibor Csonka
[19] 《google cookie xss》 Heart
[20] 《一次简单的html injection导致的Gmail 0day》 剑心
[21] 《疯狂的跨站之行》 剑心
[22] 《利用httponly提升应用程序安全性》 剑心
[23] 《也谈一个跨站的利用》 Jno
[24] 《Applying XSS to Phishing Attacks》 Nexus
[25] 《Xss & Iframe Phishing》 599eme Man
[26] 《Stealing Search Engine Queries with JavaScript》 SPI Labs
[27] 《XSS Virus 探究》 viki/余弦
[28] 《web2.0 worm技术细节》 余弦
[29] 《基于CSRF的XSS攻击》 余弦
[30] 《Ajax hacking with XSS》 梦之光芒（monyer）
[31] 《www.baidu main.swf Xss Bug》 PZ
[32] 《浅析XSS(Cross Site Script)漏洞原理》 rayh4c
[33] 《XSS Phishing——新式跨站脚本攻击方式》 rayh4c
[34] 《CSRF攻击原理解析》 rayh4c
[35] 《CSRF with Flash》 lake2
[36] 《CSRF——攻击与防御》 lake2
[37] 《Preventing CSRF》/《防止CSRF攻击》 Nexus/玄猫（译）
[38] 《浅谈CSRF攻击方式》 hyddd
[39] 《Testing Flash Applications》 Stefano Di Paola
[40] 《Testing and exploiting Flash applications》 fukami
[41] 《Flash应用安全规范》 80sec
[42] 《Flash Parameter Injection》 Yuval Baror/Ayal Yogev/Adi Sharabani
[43] 《Flash Security&Advanced CSRF》 Samrat Chatterji
[44] 《Blinded by Flash：Widespread Security Risks Flash Developers Don’t See》Prajakta Jagdale/Hewlett-Packard
[45] 《Security Domains, Application Domains, and More in ActionScript 3.0》/《深入理解Flash Player的安全域》 senocular.com/ Y.Boy（译）
[46] 《Adobe Flash Player 9 Security》 Adobe
[47] 《How to write a XSS(cross site scripting) worm for McCodes sites》 PaPPy
本文仅用于学习和交流目的，不代表异步社区观点。非商业转载请注明作译者、出处，并保留本文的原始链接。
相关资源：论文《基于网络爬虫的SQL注入与XSS漏洞挖掘》