XSS跨站脚本漏洞主要影响的站脚是

一个电商网站的评论区，有人留言：“这鼠标垫真不错，本漏顺便说一句，洞主”。这条评论被服务器原样存进数据库，站脚又被原样吐到每一个访问该商品页的本漏用户浏览器里。浏览器不认识这是洞主恶意代码，它只认标签，影响于是站脚脚本执行，cookie被发走。本漏攻击者拿到你的洞主登录凭证，接下来就能用你的影响账号下单、改地址、站脚甚至绑卡。本漏

这就是洞主XSS，跨站脚本。它影响的从来不是服务器本身，而是每一个打开页面的普通用户。服务器只是个搬运工，把攻击者写好的脚本搬进了受害者的浏览器，浏览器才是案发现场。

谁在真正受伤

很多人以为XSS是“网站被黑”，其实网站数据库没丢、服务器没被控，丢的是用户的会话。2018年英国航空的数据泄露事件，攻击者就是通过XSS注入窃取了38万张支付卡的CVV码。用户以为自己在英航官网上正常付款，实际上页面里混入的脚本已经把表单里的卡号、有效期、安全码实时转发到了境外服务器。用户看不见任何异常，地址栏还是绿色的https，锁头图标还在。

另一个常被忽略的受害者是网站运营方。一个中小型论坛被XSS后，攻击者用管理员的cookie发了置顶帖，挂上博彩链接。三天后百度收录了这些页面，论坛域名被标记为“危险站点”，流量直接腰斩。修复漏洞花了两个小时，恢复搜索引擎信任花了四个月。这期间广告商撤单、用户流失，损失远超服务器被入侵。

影响范围比想象中宽

XSS不挑平台。PC浏览器、手机WebView、Electron桌面应用、甚至某些智能电视的浏览器内核，只要渲染HTML且执行JavaScript，就可能中招。我见过一个案例：某酒店的自助入住机用的是老旧安卓平板，浏览器内核停留在Chrome 49，攻击者在酒店WiFi的登录页注入了XSS，住客连上WiFi后弹出的“认证页面”里藏着键盘记录脚本。住客输入房间号和姓名，脚本把数据发走，攻击者用这些信息去前台冒充住客补办房卡。

还有更隐蔽的。某些浏览器扩展的“阅读模式”会重新解析页面，如果解析逻辑有缺陷，原本被转义的脚本可能被二次还原执行。用户只是点了一下“阅读模式”，脚本就活了。这种场景下，连开发者都很难复现，因为普通访问没事，特定扩展才触发。

为什么它总也修不完

XSS的根源是“数据被当成了代码”。用户输入的内容，如果直接拼进HTML、拼进属性、拼进JavaScript字符串、拼进URL，就可能逃逸出数据上下文，变成可执行的代码。现代前端框架React、Vue默认做了转义，但总有绕过的姿势。比如Vue的v-html指令，用了就等于主动打开门。再比如服务端模板引擎，开发者以为${ }自动转义，结果某个版本对单引号处理有bug，攻击者用onmouseover=alert(1)就绕过了。

更麻烦的是DOM型XSS。恶意代码根本不经过服务器，前端JS从location.hash里取数据直接innerHTML，服务器日志里干干净净，WAF也拦不住。你打开一个链接，页面看起来正常，但URL的井号后面藏着，脚本就在你本地执行了。

实际影响可以量化

一个中型内容网站，日均PV 50万。某天被白帽子报了一个存储型XSS，在文章评论里。修复前该漏洞存在了6小时，期间有大约8000个独立IP访问了被污染页面。其中约1200个用户的cookie被记录到了攻击者服务器。这1200个账号里，有37个是付费会员，绑定了信用卡。攻击者用这些账号的会话在站内发垃圾广告，又触发了短信验证码接口，一夜之间消耗了网站两万条短信配额，直接成本两千多块。这还没算客服处理投诉的人力。

XSS不像SQL注入那样能直接拖库，也不像命令执行那样能拿下服务器。它更像一把万能钥匙，专门开用户的锁。用户信任网站，浏览器信任脚本，脚本却听攻击者的。这个信任链条不断，XSS就永远有饭吃。

(责任编辑：焦点)