文章总结： 文档通过两个案例阐述了利用组合拳提升XSS危害的方法。案例一将Self-XSS结合CSRF漏洞，构造恶意页面诱导用户点击，实现危害升级。案例二利用Markdown编辑器的XSS结合二维码分享功能扩大攻击面。文章强调挖掘时需细心寻找触发点，并通过漏洞组合或功能联动最大化利用价值，文末包含社群推广信息。 综合评分： 62 文章分类： WEB安全,渗透测试,实战经验,漏洞POC

漏洞挖掘中的组合拳攻击

xiaoqiuxx xiaoqiuxx

陌笙不太懂安全

2026年2月25日 17:41 河北

免责声明

由于传播、利用本公众号所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号陌笙不太懂安全及作者不为此承担任何责任，一旦造成后果请自行承担！如有侵权烦请告知，我们会立即删除并致歉，谢谢！

作者:xiaoqiuxx原文链接:https://xz.aliyun.com/news/13398

案例一

我们挖掘XSS的时候秘诀都说是见框就插，但是有时候我们插入payload之后呢，不知道内容跑哪去了，或者你以为它是没有xss的，但是有可能是触发的方式不对。然后呢，xss的话现在防护也做的很好了，可能挖了半天还是个self-xss，头皮发麻。那么有没有办法可以帮我们把self-xss提升危害呢，有的。那就是CSRF，组合拳套路。这个案例就是一个很好的体现。

XSS

首先在这里有一个新建课件的功能点。

好的，看到有框，那我们就插一个试试。

首先使用h1标签探探路。

创建之后在这里看平平无奇，并没有被解析。 我们点进去看看

诶，可以发现内容这里被解析了。好像有戏。再试试其他的标签。 我们打个img看看

ok,成了！！！而且还是个存储xss！ 但是这个时候冷静下来想一下。这个功能点只能创建一个课件，虽然能弹。但是呢，我们不能给别人造成危害呀，顶多就是个ziwei洞，也就是个乐。 那么这时候我们就需要结合一下CSRF，那么如何使用的。首先我们需要抓取一下这个创建的课件的api

CSRF

首先抓取一下这个添加内容的api

这里我们把name改成我们的payload

copy一下这个html

这里还需要点击触发，我们修改一下代码让他自动点击触发。

再打开就会自动创建了。

这个例子一开始可以发现它对别人是不能造成危害的，因为别人访问不到我们这个文件。那么我们就使用组合拳攻击。这个文件我们可以把他挂载到VPS上，然后诱导别人点击我们这个文件的链接那么就可以上钩了。我们测试XSS的时候需要细心一点。一开始我测试的时候也是没啥反应，后面才发现这些触发点可能在其他地方。我们需要多注意多观察。然后发现漏洞之后我们尽量通过组合拳的方式去提升漏洞的危害。

案例二

可以看到这里是存在一个md格式的编辑器的，然后可以往里面插入html代码，经过测试，它是可以造成xss漏洞的，但是呢。这里的话简单看是不能给别人造成危害

这里可以看到我们插入的相关payload

成功弹窗了，说明这个接口的话防护没有做好，但是这个时候我们需要想到如何对别人造成一个危害呢。

组合

这个时候刚好考虑到了这个功能点的作用。他可以给别人分享一个二维码，然后扫描之后就可以查看到我们编辑的信息，那么就好办了。

扫描之后就可以弹窗了

总结

结合系统本身功能或者csrf漏洞可以最大程度扩大xss危害。

后台回复加群加入交流群

有思路工具需要的师傅可以加入小圈子

主要内容是（2025-2026/edusrc实战报告/思维导图/edu资产/漏洞挖掘工具/各类源码/src学习资料等）

部分思维导图展示

其他内容懂得都懂，可以扫码查看详情，目前300多条内容，持续更新中。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：陌笙不太懂安全 xiaoqiuxx xiaoqiuxx《漏洞挖掘中的组合拳攻击》