主要分为两个方面，一方面是应用程序使用的第三方脚本的漏洞，另一方面是应用程序自身的代码漏洞。
前者通常通过安装第三方脚本升级补丁（升级）等手段解决，以下是针对后者进行描述。
XSS（Cross Site Scripting）
本质就是对用户的输入没有进行过滤，导致恶意脚本在浏览器端被执行。
跨站漏洞类型
- 存储型跨站
- 反射性跨站
- 基于 DOM 跨站
挖掘跨站漏洞方式
- 手工
- 自动化
- 半自动化
基本防御
- 限制用户输入的字符串长度
- 对用户输入的字符串进行过滤
- 对用户输入的字符串进行编码
- 利用已有的防御 XSS 插件进行防御（http only 属性）
逻辑漏洞
如何挖掘？
- 经验
- 方法
