近日获悉，安全研究人员在谷歌的一个后端应用程序中，发现了XSS漏洞，黑客利用该漏洞或能窃取谷歌内部应用程序的员工cookie并劫持账号，从而发起鱼叉式钓鱼攻击。

什么是XSS漏洞？其实指的是cross sitescript跨站脚本攻击，为了避免和css重复，就叫XSS了，是客户端脚本安全中的头号大敌，并且分成反射型、反射型和DOM Based XSS。XSS漏洞的主要危害在于，其能劫持Cookie。

众所周知，cookie中一般加密保存了用户的登录凭证，浏览器发起的所有请求都会自动带上，如果Cookie被盗取，也就是说用户不用通过密码而直接登录你的账户。此外，XSS漏洞的危害还在于构建Get和Post请求，如果cookie按照上述进行了设置，则无法直接劫持cookie来使用了，但是XSS可以在javascript中构建get或者post请求，来实现自己的攻击。

再者，就是前面讲到的XSS钓鱼。攻击者可以将XSS和钓鱼结合在一起，例如通过javascript代码模拟出网站的登录框，用户输入用户名和密码后，XSS将这些信息发送到服务器端，用来进行攻击。此外，XSS还可以识别用户的浏览器信息、用户安装的软件以及用户真实的IP等信息。

回到本次事件，在今年2月份的时候，安全研究人员Thomas Orlita便发现了这个攻击途径。漏洞在4月中旬已经修复，不过直到现在才公布。该安全漏洞为XSS（跨站点脚本）漏洞，影响了谷歌发票提交门户，谷歌的业务合作伙伴在此处提交发票。大多数XSS漏洞被认为是良性的，但也有少数情况下，这些类型的漏洞会导致严重的后果。

其中一个漏洞就是Orlita的发现。对此，研究人员表示，恶意威胁行动者可将格式不正确的文件上传到谷歌发票提交门户。攻击者使用代理可以在表单提交和验证操作完成后立即拦截上传的文件，并将文档从PDF修改为HTML，注入XSS恶意负载。数据最终将存储在谷歌的发票系统后端，并在员工试图查看它时自动执行。

Orlita表示，员工登录时在googleplex.com子域名上执行XSS漏洞，攻击者能够访问该子域名上的dashboard，从而查看和管理发票。根据googleplex.com上配置cookie的方式，黑客还可以访问该域中托管的其他内部应用程序。实际上，就像大多数XSS安全漏洞一样，这个漏洞的严重程度取决于黑客的技能水平。