标签在浏览器里执行的那一瞬间，你根本看不见它。它像一颗埋在表单里的地雷，等你踩上，然后悄悄把数据送回攻击者的服务器。这就是xss盲打——你打出去的每一发payload，都不确定会不会命中，也不知道什么时候会响。 我在测试一个后台管理系统的时候，把所有输入框都塞了 ``。页面毫无反应，干干净净。正常。盲打就是这样，前端不会给你任何反馈，一切都在暗处运行。 真正有意思的是等待。你盯着自己的服务器日志，像等一封永远不会到的信。十分钟过去，半小时过去，正当你准备放弃，突然——一条来自陌生IP的请求跳出来。那是管理员的浏览器，带着他的cookie，他的session，他的一切权限。那一刻你才明白，为什么这招叫“盲打”。你根本看不见目标，但你知道他迟早会踩上来。 盲打的核心不在于构造多精妙的payload，而在于你能否让代码在对方毫无防备的时刻执行。存储型xss是盲打最常用的载体——评论框、留言板、个人资料编辑。这些地方的数据会进入数据库，然后在后台被管理员查看。你不需要让普通用户中招，你要钓的是那个每天审核内容的倒霉蛋。 我见过最骚的操作，是把payload藏在图片的alt属性里。管理员后台的页面加载了那张图片，alt文本被解析，脚本触发，cookie直接飞到了攻击者的vps上。整个过程管理员毫无感知，他只是在审核一条带图片的留言，然后自己的账号就被劫持了。 防御这玩意儿比想象中难。你没法预判所有输入点，也没法保证每个输出位置都做了转义。有些系统做了过滤，但只过滤了 `