XSS攻击，全称为跨站脚本攻击（Cross Sie Scripig），是一种网络攻击方式，其主要针对的是Web应用程序的安全性。XSS攻击主要分为两种类型：非持久型和持久型。

一、非持久型XSS攻击

非持久型XSS攻击也被称为反射型XSS攻击。这种类型的攻击主要利用了Web应用程序对用户输入的处理方式。攻击者通过在用户输入中插入恶意的JavaScrip代码，并利用应用程序对用户输入的信任，将恶意代码以纯文本的方式输出到应用程序的响应中，从而实现在用户浏览器端执行恶意代码的目的。

非持久型XSS攻击的主要步骤包括：

1. 攻击者构造恶意的JavaScrip代码；

2. 攻击者将恶意代码插入到目标网站的表单输入、URL参数等位置；

3. 用户访问被攻击的页面时，恶意代码被触发并在用户浏览器端执行；

4. 恶意代码可以利用用户的身份和权限，进行各种恶意操作，如窃取用户信息、篡改数据等。

二、持久型XSS攻击

持久型XSS攻击也被称为存储型XSS攻击。这种类型的攻击主要利用了Web应用程序的数据库存储功能。攻击者将恶意的JavaScrip代码插入到数据库中，并利用应用程序对数据库的读取和处理方式，将恶意代码以纯文本的方式输出到应用程序的响应中，从而实现在用户浏览器端执行恶意代码的目的。

持久型XSS攻击的主要步骤包括：

1. 攻击者构造恶意的JavaScrip代码；

2. 攻击者利用应用程序的漏洞，将恶意代码插入到数据库中；

3. 应用程序在处理数据库中的数据时，将恶意代码以纯文本的方式输出到应用程序的响应中；

4. 用户访问被攻击的页面时，恶意代码被触发并在用户浏览器端执行；

5. 恶意代码可以利用用户的身份和权限，进行各种恶意操作，如窃取用户信息、篡改数据等。

无论是非持久型还是持久型XSS攻击，其主要的防范措施都是相似的。主要包括以下几点：

1. 对用户输入进行严格的验证和过滤，防止恶意代码的注入；

2. 对数据库中的数据进行检查和处理，防止恶意代码的存储和输出；

3. 对应用程序的响应进行检测和处理，防止恶意代码的执行；

4. 对用户的浏览器进行安全配置和更新，防止恶意代码的执行和利用。