2026-03-04 11:20:51 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

文章总结： 本文详细阐述了XSS跨站脚本漏洞的原理、分类及利用方式，指出其本质是浏览器将用户输入误判为代码执行。文中提出了寻找输入点、分析输出上下文及构造绕过的测试流程，并强调防御需依赖上下文相关编码、CSP及HttpOnly等措施。最后通过真实案例复盘与未来趋势分析，强调了理解浏览器解析机制在攻防中的核心地位。 综合评分： 88 文章分类： WEB安全,漏洞分析,渗透测试,实战经验,安全建设

cover_image

第59天-WEB攻防 · XSS跨站脚本漏洞

原创

萧瑶萧瑶

AlphaNet

2026年3月1日 16:51 江苏

原理 · 分类 · 利用 · 修复 · 实战复盘

XSS（Cross-Site Scripting）不是“老漏洞”，它是一个永远和前端交互共生的漏洞。

只要存在：

用户输入 → 页面输出 → 浏览器解析执行

这个链条没有被严格约束，XSS就会存在。

它不是某个标签的问题，而是浏览器“相信你”的问题。

一、XSS漏洞核心原理

一句话概括：

服务器把用户可控数据输出到HTML环境中，并被浏览器当成代码执行。

浏览器不是“聪明”的，它只做一件事：

把你给它的HTML当成结构，把JavaScript当成命令。

如果输入的数据：

没有经过严格过滤
或过滤方式错误
或输出位置上下文不匹配

那浏览器就会执行攻击者的代码。

这就是XSS。

二、XSS分类体系

1️⃣ 基础三大类

① 反射型 XSS（非持续）

特点：

不存储在服务器
一次性触发
通常通过恶意链接传播

攻击流程：

攻击者构造恶意URL → 用户点击 → 参数回显 → 浏览器执行脚本

本质是：

输入通过URL参数进入页面 → 被原样输出 → 执行

典型场景：

搜索框
错误提示页面
跳转提示页面

② 存储型 XSS（持续型）

这是更危险的一类。

恶意代码被写入数据库：

评论
留言
用户资料
私信

当其他用户访问页面时自动触发。

攻击链：

攻击者提交恶意payload → 服务器存储 → 所有访问者执行

这类漏洞常用于：

Cookie窃取
管理员劫持
权限维持

③ DOM型 XSS（DOM-Based）

它更“隐形”。

页面源码本身没有问题。

漏洞在客户端JavaScript里。

例如：

document.write(location.hash)

当用户访问：

example.com/#<script>alert(1)</script>

JavaScript读取hash并写入DOM，浏览器执行。

核心特征：

不经过服务器
纯前端执行
多存在于单页应用

三、拓展类型（进阶认知）

XSS不是只存在于 <script> 标签。

随着浏览器解析机制进化，出现了很多衍生形态：

jQuery XSS
mXSS（mutation XSS，浏览器DOM重写触发）
uXSS（浏览器自身漏洞导致）
PDF XSS
Flash XSS
上传型XSS
SVG XSS
属性型XSS

本质不变：

让浏览器误判“数据”为“代码”

四、常见攻击利用方式

XSS不是“弹窗alert”。

真正的利用包括：

盲打（后台管理触发）
Cookie窃取
Token窃取
页面劫持
键盘记录
CSRF联动
钓鱼重定向
内网探测
权限维持

在真实攻防中，XSS往往是“横向移动的起点”。

五、测试流程（实战思维）

测试XSS不是“随便插script”。

标准思维流程：

第一步：找输入点

GET
POST
Header
富文本编辑器
文件上传
自定义标签

第二步：找输出点

用户资料页
评论区
搜索结果
标签显示
关键词回显
JSON渲染
JS变量赋值

第三步：分析输出上下文

HTML文本环境？
属性环境？
JS字符串环境？
URL环境？

不同环境，payload不同。

第四步：构造绕过测试

观察：

是否过滤标签
是否过滤事件
是否编码
是否转义

修改payload，看浏览器是否执行。

测试本质是：

看数据被放在哪里，然后决定如何“闭合上下文”。

六、防御机制深度分析

修复XSS不能靠“过滤script”。

正确方法是：

1️⃣ 输出编码（核心）

不同输出环境使用不同编码：

HTML编码
JS编码
URL编码
属性编码

这叫“上下文相关编码”。

2️⃣ HttpOnly

阻止JavaScript读取Cookie。

3️⃣ CSP（Content Security Policy）

限制脚本加载来源。

4️⃣ WAF拦截

辅助防御，不可依赖。

5️⃣ 富文本白名单机制

只允许安全标签。

真正的安全是：

默认所有输入不可信。

七、真实案例复盘

1️⃣ 上海交大XSS漏洞

反射型，参数未编码直接回显。

2️⃣ 私信XSS

存储型，攻击管理员账号。

3️⃣ 微博反射XSS

通过URL参数构造执行。

4️⃣ 腾讯相册绕过

过滤不严，属性注入。

5️⃣ 某邮箱系统XSS

富文本编辑器未严格过滤。

这些案例的共同点：

不是不会过滤，而是过滤不彻底。

八、XSS的本质思考

XSS为什么经久不衰？

因为Web架构本身是“拼接型语言”。

HTML不是强类型语言。

浏览器会尽力修复错误标签。

DOM会自动重写结构。

浏览器的“宽容”是安全的敌人。

当你理解浏览器解析机制，你就理解了XSS。

九、未来趋势

随着：

前后端分离
单页应用
React/Vue渲染
AI生成代码

DOM型XSS会更多。

未来防御核心会集中在：

自动化编码框架
浏览器沙箱隔离
可信渲染模型

XSS不会消失，它只会换形态。

十、总结

XSS不是一个漏洞名称。

它是一种：

数据和代码边界失守的现象。

当你看到输入输出链条时，就要问自己：

这段数据，在浏览器里是什么身份？

如果你能用这句话审视每一个参数，你的XSS测试能力会指数级提升。

如果你准备把XSS提升到“武器化”级别，可以继续深入：

浏览器解析流程
HTML5解析算法
DOM mutation机制
JS沙箱绕过
CSP绕过技术
现代前端框架安全模型

真正的攻防高手，从不迷信payload，他们研究的是浏览器本身。

Web世界从来不是安全的，它只是暂时没被注意到而已。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：AlphaNet 萧瑶萧瑶《第59天-WEB攻防 · XSS跨站脚本漏洞》