xss platfrom

打开一个网页，输入框里敲进去一行 <script>alert(1)</script>，回车。弹窗跳出来的那一刻，你就摸到了 XSS 的门槛。这东西说复杂能写一本书，说简单——它就是一个“让别人的浏览器执行你写的 JS”的游戏。

但真正让 XSS 从手工玩具变成工程化攻击的，是平台。我指的是那种把漏洞挖掘、Payload 生成、目标管理、数据回传全部串起来的 XSS Platform。最早接触这类东西是几年前，当时还在用 BeEF 做钓鱼，后来发现国内有人搭了专门收 Cookie 的平台，界面粗糙得像上世纪的 BBS，但功能一点不含糊。

它到底长什么样

一个典型的 XSS Platform 核心就三块：Payload 托管、数据接收、后台管理。你注册一个账号，平台给你分配一个专属的 JS 文件地址，比如 http://xss.example.com/yourname.js。你把这个地址注入到存在 XSS 的页面里，任何访问该页面的用户，浏览器都会静默加载这段 JS，然后——你的后台就亮了。

亮起来的是什么？是受害者的 Cookie、URL、User-Agent、浏览器指纹、甚至页面截图。有些平台还支持键盘记录和表单劫持，你在后台点一下“键盘记录”，前端立刻下发指令，受害者的每一次按键都实时传回来。这种体验很瘆人，但确实就是现实。

为什么有人搭这玩意

手工打 XSS 不是不行，但效率太低。你找到一个注入点，构造 Payload，搭个接收服务，还得自己写后台看数据。换个目标，全部重来。平台把重复劳动吃掉了。更关键的是，平台让“非技术型”攻击者也能上手——你不需要懂 Node.js，不需要会配 Nginx，注册完就能用。

我见过一个平台的后台统计，注册用户里超过六成在三天内就成功收到了第一条 Cookie。这个转化率说明什么？说明 XSS 的门槛已经被平台拉到了地板以下。

技术上的几个关键点

Payload 的免杀是永恒话题。早期平台直接返回明文 JS，WAF 一抓一个准。后来开始用 eval、atob、String.fromCharCode 做编码，再后来上混淆器，变量名全变成 _0x4f2a 这种。道高一尺魔高一丈，但核心逻辑没变——浏览器最终得执行它。

数据回传也有讲究。直接发 XHR 到平台服务器？跨域拦住了。所以平台通常用 JSONP、img 标签、或者 WebSocket。最稳的是动态创建 script 标签，把数据拼在 URL 参数里，服务端记完日志返回一个空 JS。这种方式兼容性最好，也最难被拦截。

后台管理反而最简单。一个 PHP 或者 Flask 写的 CRUD，加个 WebSocket 做实时推送，齐活。真正花时间的是权限隔离——多个用户之间不能互相看到数据，否则今天你偷别人的，明天别人偷你的。

法律和现实的灰色地带

搭平台本身不违法，但用平台去打未授权的目标，就是另一回事了。我见过一些平台在注册协议里写“仅限授权测试”，但后台数据里全是电商、社交、政府网站的 Cookie。这种自欺欺人的免责声明，跟没有一样。

更麻烦的是平台本身的安全。你一个收 Cookie 的平台，自己要是被 XSS 了，那乐子就大了——所有攻击者的战果全被一锅端。我印象里至少有三个知名平台出过这种事，其中一个直接被人把数据库拖走挂在论坛上。

所以回到开头那个弹窗。alert(1) 只是证明“这里能执行 JS”，而 XSS Platform 是把这句话变成了“这里能执行我的 JS，并且我能看到所有访问者的反应”。从证明到利用，中间隔着的就是平台。

你可以在 GitHub 上找到几十个开源实现，从 PHP 的到 Go 的都有。部署一个只需要一台 VPS 和一个域名。技术从来不是门槛，意图才是。