于XSS跨站脚本漏洞危害

一个购物网站的跨站评论区里，有人贴了一段看似无害的脚本留言：“这商品真不错”。几小时后，漏洞该网站数千用户的危害登录凭证出现在攻击者的服务器日志里。就这么一行代码，跨站没有弹窗，脚本没有页面跳转，漏洞用户毫无感知。危害这就是跨站XSS——跨站脚本漏洞的日常。

很多人对XSS的脚本印象还停留在“弹个alert框”的阶段。早期安全测试确实爱用alert(1)来验证漏洞存在，漏洞搞得像恶作剧。危害但实际攻击中，跨站弹窗是脚本最无聊的用法。XSS的漏洞本质是：攻击者让受害者的浏览器执行自己注入的JavaScript。一旦脚本跑起来，它就在目标网站的域下运行，拥有该域的全部权限——读取Cookie、发起同源请求、操作DOM、窃取表单数据、甚至控制用户浏览器发起内网扫描。

Cookie窃取是最经典的路径。如果目标站点没有设置HttpOnly标志，document.cookie就能把会话令牌完整吐出来。攻击者拿到Session ID，直接冒充受害者登录，不需要密码。2018年British Airways的Magecart攻击就是XSS变种——攻击者在支付页面注入脚本，实时抓取用户输入的信用卡号、CVV码，影响超过38万笔交易。英国ICO后来开出1.83亿英镑的罚单。代码藏在一个第三方脚本里，前端开发根本不知道。

存储型XSS更麻烦。反射型需要诱导点击链接，存储型不用——恶意脚本直接写进数据库，每个访问该页面的用户都会中招。论坛帖子、用户昵称、商品评价、客服工单，任何接受用户输入并回显的地方都是入口。我见过一个案例：某企业内部工单系统，员工在工单标题里插了脚本，结果管理员每次打开工单列表，浏览器就自动向攻击者服务器发送管理员的操作记录。持续了三个月才被发现。

DOM型XSS则完全绕过了服务端。服务端返回的HTML是干净的，但前端JavaScript从location.hash或document.referrer里取数据，直接塞进innerHTML。服务端日志里什么都看不到。现代前端框架多了，这类漏洞反而在增长——开发者以为框架自动转义就万事大吉，但dangerouslySetInnerHTML、v-html、bypassSecurityTrustHtml这些口子一开，照样中招。

XSS还能当跳板。攻击者用XSS在受害者浏览器里跑BeEF（Browser Exploitation Framework），把浏览器变成肉鸡。可以截屏、记录键盘、发起DDoS、探测内网。一个XSS漏洞的利用价值，取决于受害者是谁。普通用户的浏览器不值钱，但管理员、客服、财务人员的浏览器——那就是通往核心系统的钥匙。

防御方面，输出编码是底线。根据输出位置（HTML、属性、JavaScript、CSS、URL）选择对应的编码方式。CSP（内容安全策略）能大幅降低危害，但配置复杂，很多站点只设了report-only模式图个心安。HttpOnly Cookie能挡住会话窃取，但挡不住DOM操作和数据外泄。真正有效的做法是：不信任任何用户输入，在输出时编码，用CSP做纵深防御，定期扫第三方脚本。

XSS存在了二十多年，OWASP Top 10里年年有它。不是因为它难防，是因为开发者总觉得“用户输入不会那么坏”。可攻击者恰恰就靠这个侥幸心理活着。