XSS攻击是Cross Site Scripting的缩写，跨站脚本攻击的意思。跨网站脚本的缩写该当是 css，但它是页面样式表中 css 的副本，以是跨网站脚本被 xss 取代。
Xss 是代码注入攻击。大部分网站都有一些可以随意修正网址的功能脚本，比如搜索功能、UGC用户投稿网站的提交功能、通过脚本进行迁移转变等等。比如搜索观点，URL常常便是domain.com/search.php?keyword，或者domain/？S = keyword 等(SEO每天一贴的搜索功能便是这个URL格式) ，个中关键字可以更换为任何字符。
那么当关键字部分被脚本更换时会发生什么呢？比如domain.com/?s= script>alert(‘XSS’) /script>。存在此类漏洞的网站在向URL中注入恶意脚本时不会实行安全过滤，浏览器也不会将其区分为恶意脚本，因此会实行恶意脚本。
Xss 可用于捕获用户敏感信息、仿照用户向网站发出要求等等。你也可以实行脚本将内容插入到天生的 html 代码中，黑帽 seo 可以利用这一点将漏洞注入到链接中。
二、若何利用XSS漏洞在别人网站注入链接修正URL中的参数，更换为脚本，浏览器实行脚本，在HTML中插入内容，以是也可以插入链接。当然如果只是访问用户的浏览器上显示链接，搜索引擎不抓取这个URL的话，黑帽SEO也就不感兴趣了。问题便是 Google蜘蛛可以抓取被注入脚本的URL，也可以实行JS，以是也就可以看到被注入的链接。
防止XSS攻击，一是做事器真个程序要做安全过滤，最基本的是HTML转义，把<script>alert(‘XSS’)</script>当作被搜索的字符串，而不是要实行的脚本。二是浏览器真个XSS识别，现在的很多浏览器（如Chrome）看到URL中有可疑字符如script之类的，会直接谢绝打开页面。
如果Google蜘蛛和Google自己的Chrome浏览器一样能够识别XSS攻击，带有注入脚本的URL根本不抓取，就没有事情了。但根据Google官方文件解释，到目前为止，Google蜘蛛利用的是比较老的Chrome 41版本，而Chrome 41是没有XSS识别功能的。以是，有XSS程序漏洞的网站，有可能被Google蜘蛛抓取到被注入链接的URL。
Tom做了实验。某新银行（Revolut）网站有XSS漏洞（天哪，银行网站有XSS漏洞。不过现在已经补上了），Tom在Revolut域名上布局了个带有注入脚本的URL，浏览器实行后会在页面顶部放上个链接。Google蜘蛛会若何处理这种URL呢？Tom用Google的页面移动友好性测试工具验证了一下，由于这个工具会按照 Google蜘蛛的办法渲染页面。结果是这样：
显然，Google能够抓取URL，实行注入的脚本，天生的页面顶部是有那个被注入的链接的。这可是来自银行域名的一个外部链接。
为了进一步验证，Tom把实验URL提交给Google，结果解释，Google索引了这个URL，快照显示，通过JS脚本注入的链接也正常涌如今页面上：
Tom还创造，通过XSS注入，也可以添加、修正HTML中的标签，比如canonical标签，这个也是挺危险啊。不过这个和本帖XSS注入链接关系不大，就不细说了。
三、XSS攻击注入的链接有效果吗？仅仅能索引不一定解释问题，如果如某些垃圾链接一样被Google忽略，没有链接的效果，那也不能利用来操控外部链接。为了验证这种URL上的链接是否有链接效果，Tom进一步做了实验。
Tom在Revolut域名的URL上注入一个链接，指向自己实验网站上以前不存在、刚刚创建的一个页面，提交Revolut的URL，没多久，Google就抓取了Tom自己实验网站上的新页面，而且索引了这个页面，涌如今搜索结果中：
这解释，被注入的链接，至少是能起到吸引蜘蛛抓取的浸染的。对权重流动和排名有没有普通链接一样的浸染呢？Tom顾虑到可能会对正常搜索结果的影响而没有进一步试验了。
这里不得不说，国外很多SEO是很有情怀的。我在想，如果是海内SEO们创造这个等级的漏洞，会报告给搜索引擎补上漏洞吗？大概会把这个漏洞为己所用，利用到去世吧。
四、对搜索结果的潜在影响有多大？如果这种办法注入的链接有正常链接的效果，对权重、排名有效，那么只要被黑帽SEO利用，对操控权重、排名显然有很大帮助，对搜索结果有多大潜在影响呢？
https://www.openbugbounty.org/ 网站上列出了12万5千多有XSS漏洞的网站，个中包括260个.gov政府网站，971个.edu域名网站，包括了前500个链接最多网站中的195个，想象一下潜在的影响会有多大。
当然，谷歌相信他们的防御机制，该当能够识别这种黑帽方法，我疑惑谷歌的内部研究表明，这种方法迄今为止还没有被利用。不过，这是 Tom发布干系信息技能之前，现在呢？我猜很多人已经在猖獗地试验这种方法的有效性了。等我的帖子出来，海内肯定会有SEO可以考试测验。那么，大规模滥用这种发展注入办法方法的情形下，Google的预防事情机制还会进行有效吗？
另一主要方面，险些我们可以进行肯定， Tom的帖子发出来，会迫使Google必须要积极发展采纳相应方法，补上这个别系漏洞，不能让XSS攻击注入链接真的已经成为一个有效的SEO作弊方法。想考试测验的，尽快吧，很快就会没用的。
如果还没有打仗过系统SEO的朋友，可以关注我，参考我为大家准备的信息教程。也可以来专门的SEO社区一起学习互换，在我的微信官方账号“爱学SEO”里学习最新的行业信息和最新技能，希望一起发展互换。
