XSS漏洞

2016年，一个叫“麦子”的黑客在淘宝上买了一件衬衫。三天后，他的支付宝被转走八千块。警察查了半天，发现漏洞不在淘宝，而在那家卖衬衫的小店——店铺后台的搜索框没有过滤任何字符，黑客在搜索框里输入了一段JavaScript代码，代码在店主浏览器里执行，直接调用了支付宝的转账接口。这就是XSS，跨站脚本攻击，全球排名前三的Web漏洞，原理简单得像个笑话：你往别人家的窗户里扔了个纸团，纸团上写着“把门打开”。

XSS的本质是浏览器分不清“代码”和“数据”。服务器把用户输入原样吐回页面，浏览器傻乎乎地执行了。攻击者不需要破解密码，不需要物理接触，只需要让受害者点开一个链接，或者在一个输入框里埋雷。比如评论区，你发一条评论，内容是“”，如果网站没做过滤，这条评论会像病毒一样在每个人的浏览器里弹窗。更狠的是，黑客可以偷走你登录状态下的cookie，然后冒充你发帖、转账、改密码——整个过程你毫无感觉，就像有人用你的钥匙进了你家，翻完东西还把门锁换了。

我见过最离谱的一次渗透测试，是在一家银行的客服系统里。那个系统有个“客户姓名”输入框，测试员输入了“张三”，结果客服人员的电脑上弹出了警告框。你想想，银行系统都这么脆弱，更别说那些小网站了。XSS分三种：反射型，藏在URL里，点一次中一次；存储型，写进数据库，所有访问者都中招；DOM型，纯前端操作，连服务器都察觉不到。最阴险的是存储型，攻击者把恶意脚本存在服务器上，之后每一个访问该页面的用户都会遭殃——就像在公共饮水机里投毒，毒不会立刻发作，但每个喝水的人都会慢慢倒下。

防御的办法其实不复杂，核心就两条：过滤输入，转义输出。把尖括号、引号、斜杠这些特殊字符通通换成HTML实体，让浏览器把它们当纯文本看。但现实是，很多开发人员嫌麻烦，或者觉得“用户不会那么无聊”，于是漏洞就这么留下来了。更麻烦的是，现在的前端框架React、Vue都自带XSS防护，可架不住有人用dangerouslySetInnerHTML这种后门，像明明装了防盗门，偏要留个窗户透气。

别以为XSS只是技术圈的事。2018年，英国航空公司网站被植入XSS脚本，几十万用户的信用卡信息被窃取。2020年，某社交平台因为一个XSS漏洞，黑客批量控制账号发垃圾广告。这些攻击者要的不是炫技，是钱，是数据，是控制权。你每点一个陌生链接，每在一个不靠谱的网站输入个人信息，都是在跟XSS玩俄罗斯轮盘赌。

说到底，XSS不是技术问题，是人性问题。写代码的人图省事，用网站的人图方便，两边都没想到“那个输入框里可能藏着刀”。浏览器安全机制再完善，也拦不住开发者自己把刀递出去。所以啊，下次看到网上那些花里胡哨的输入框，先想想：万一你打进去的是代码，它会怎么执行？

很赞哦!（38）