XSS 攻击原理、类型与实战防御指南

• 危害：大规模用户 Cookie 被盗、网站被挂马、蠕虫传播、用户数据泄露。

3. DOM 型 XSS（DOM-based XSS）—— 前端自身的漏洞

DOM 型 XSS 是前端 JavaScript 代码造成的漏洞，与服务器无关。

• 特点：恶意代码不经过服务器、通过修改页面 DOM 结构触发、服务器返回的页面本身是干净的、漏洞存在于前端 JS 代码中。

典型场景：基于 URL 参数动态渲染页面内容的单页应用。 攻击示例： 页面代码：

<script> var x = document.location.hash.substring(1); document.write("<div>" + x + "</div>"); </script>

攻击者构造：

http://example.com/#<script>alert(1)</script>

页面会执行脚本。

• 危害：盗取用户信息、劫持前端逻辑、钓鱼攻击。

三、XSS 攻击的常见触发点

XSS 攻击通常发生在以下场景：

1. 输入未过滤：如搜索框、评论框、URL 参数。
2. 输出未编码：服务器将用户输入直接输出到 HTML 中，未进行转义。
3. 前端 DOM 操作不安全：如使用 document.write()、innerHTML、eval()、setTimeout()、setInterval()，这些函数都可能执行恶意代码。
4. 第三方组件漏洞：如富文本编辑器、评论插件、广告组件。

四、XSS 绕过技巧（重点）

攻击者为了绕过防御，会使用各种技巧：

1. 标签变形

   <scr<script>ipt>alert(1)</scr<script>ipt>
   

2. 事件触发

   <img src=x onerror=alert(1)>
   

3. 编码绕过

   <img src=x onerror=&#97;&#108;&#101;&#114;&#116;(1)>
   

4. 利用 SVG

   <svg onload=alert(1)>
   

5. JavaScript 伪协议

   <a href="javascript:alert(1)">click</a>
   

6. 绕过 CSP：利用 JSONP、利用未正确配置的白名单、利用 iframe 嵌套。

五、真实案例：XSS 造成的重大安全事件

• 案例 1：微博 XSS 蠕虫事件：2011 年，一名用户发布了一条包含 XSS 代码的微博，导致访问该微博的用户自动转发该内容，形成大规模蠕虫攻击。
• 案例 2：某大型电商平台存储型 XSS：攻击者在商品评论中插入恶意脚本，盗取用户 Cookie，导致大量用户账号被盗。
• 案例 3：某银行网银 DOM XSS：攻击者通过构造特殊 URL，盗取用户会话，造成资金损失。

六、总结：XSS 是前端安全的核心，必须重点防御

XSS 攻击是 Web 安全中最常见、最危险、最容易被忽视的漏洞之一。无论是开发者还是安全工程师，都必须掌握 XSS 的原理、类型、利用方式和防御方法。

防御 XSS 的关键是：

• 输出编码
• 输入过滤
• 避免不安全的 DOM 操作
• 启用 CSP
• 使用 HttpOnly Cookie
• 采用安全的前端框架

只要做到'输入不可信、输出要编码'，绝大多数 XSS 漏洞都可以避免。