XSS攻击，顺带diss某个连xss都不懂的所谓技术leader面试官_xss攻击会被记录到数据库吗-优快云博客

本文简要介绍了XSS攻击的本质——JavaScript脚本注入，通过钓鱼链接和数据库返回恶意脚本两种方式实现。以PHP示例演示了XSS攻击过程，并指出攻击者能执行与JavaScript相同的操作。在一次面试中，由于面试官对XSS攻击能操作数据库的误解，导致了不愉快的对话。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

这里不讨论XSS原理和分类那些长篇大论的话，总结下无非是js脚本攻击，而注入js脚本无非通过两种方式：

1，通过钓鱼链接注入js脚本；

2，通过访问数据库，结果数据库返回了某个钓鱼者的js脚本；

这里是一个常见的php页面，

<!DOCTYPE html>
<html>
<head>
	<title>XSS</title>
</head>
<body>

</body>
<script type="text/javascript">
	function ajax(caller) {
		console.log('我是合法的ajax请求，我被【'+caller+'】调用了');
	}
	ajax("自身");
</script>
</html>
<?php
$xss = $_GET['xss'];
echo $xss;
?>

首先关闭浏览器的XSS防护，然后在地址栏输入http://localhost/xss/xss.php?xss=<script>ajax("非法的")</script>