跨站脚本攻击（XSS）的变异与绕过技术（实战进阶篇） 描述 跨站脚本攻击（XSS）是一种常见的Web安全漏洞，攻击者通过注入恶意脚本到网页中，使得其他用户的浏览器执行这些脚本，从而窃取会话令牌、重定向用户或实施其他恶意行为。基础XSS防御通常依赖于输入验证、输出编码和内容安全策略（CSP）。然而，在实际场景中，攻击者会利用各种变异和绕过技术来规避这些防护措施，使得XSS攻击更加隐蔽和高效。本知识点将深入探讨XSS的变异手法、绕过技巧及其防护策略，涵盖从协议层到浏览器解析行为的实战进阶内容。 解题过程循序渐进讲解 XSS基础回顾与防护机制 XSS分为存储型、反射型和DOM型三类。存储型XSS将恶意脚本永久存储在服务器（如数据库），反射型通过URL参数即时反射回页面，DOM型则完全在客户端解析执行。 基础防护包括： 输入验证 ：对用户输入进行严格过滤（如白名单允许特定字符）。 输出编码 ：根据输出上下文（HTML、JavaScript、URL）对动态内容进行编码（如将 < 转为 &lt; ）。 CSP ：通过HTTP头限制脚本来源，阻止内联脚本执行。 HTML上下文的变异与绕过 基础绕过：当过滤器仅拦截 <script> 标签时，攻击者可尝试其他标签如 <img src=x onerror=alert(1)> ，利用事件处理器执行脚本。 编码绕过： 使用HTML实体编码（如 &#x3c;script&#x3e; ）或Unicode编码（如 \u003cscript\u003e ），如果解码发生在渲染后，浏览器仍会解析为标签。 混合大小写和嵌套标签： <ScRipt> 或 <scr<script>ipt> ，部分过滤器可能无法正确识别。 属性上下文绕过：若输出在HTML属性中（如 <input value="USER_INPUT"> ），攻击者可闭合引号并添加事件： " onmouseover="alert(1) ，最终生成 <input value="" onmouseover="alert(1)"> 。 JavaScript上下文的变异与绕过 字符串逃逸：当用户输入嵌入JavaScript字符串中（如 var data = "USER_INPUT"; ），攻击者需闭合引号并注入代码： "; alert(1);// ，结果变为 var data = ""; alert(1);//"; 。 利用JavaScript语法： 反引号模板字符串：若输出在反引号中（如\`${data}\`），可直接注入 ${alert(1)} 执行。 使用 eval() 或 setTimeout() 等动态执行函数：如输入 1);alert(1// ，可能拼接到 setTimeout("USER_INPUT") 中变为 setTimeout("1);alert(1//") 。 Unicode和反斜杠绕过：过滤器可能拦截关键词 alert ，但可用 \u0061lert 或 a\l\ert （某些解析器忽略反斜杠）绕过。 基于DOM的XSS变异技巧 源（source）到接收器（sink）链分析：攻击者追踪数据从源（如 document.location.hash ）到接收器（如 innerHTML 或 eval() ）的流动，注入点可能在客户端脚本中。 绕过URL片段解析：如 https://example.com/page#<img src=x onerror=alert(1)> ，如果页面使用 location.hash 直接插入DOM，可能触发XSS。 利用DOM克隆或模板：某些框架（如AngularJS）的旧版本可能通过 $compile 或 ng-bind-html 执行未净化内容。 绕过内容安全策略（CSP）的技术 CSP通常配置为 script-src 'self' ，只允许同源脚本。绕过方法包括： 利用允许的域：如果CSP包含 script-src https://cdn.example.com ，攻击者可上传恶意JS到该CDN或利用子域名劫持。 JSONP端点滥用：某些API提供JSONP回调（如 ?callback=alert(1)// ），如果该端点位于允许域中，可执行代码。 内联脚本绕过：CSP默认阻止内联脚本，但若存在 unsafe-inline 或特定nonce/token配置错误，可能被利用。 基于CSP的脚本加载技巧：如 <link rel="preload" href="data:text/javascript,alert(1)"> 在某些浏览器中可能被误执行为脚本。 协议层和浏览器特性滥用 data: 协议注入：若CSP允许 data: 源，可直接注入 <script src="data:text/javascript,alert(1)"></script> 。 利用 javascript: 伪协议：在URL或事件处理器中，如 <a href="javascript:alert(1)">点击</a> 。 浏览器解析差异：不同浏览器对HTML5、SVG或MathML的解析不一致，可能允许跨上下文脚本执行（如SVG中的 <script> 标签）。 实战进阶绕过案例：多级编码和混淆 双重URL编码：输入 %253Cscript%253E ，服务器解码一次变为 %3Cscript%3E ，客户端再次解码变为 <script> 。 混合编码和注释：如 <!--<img src=x onerror=alert(1)>--> ，部分过滤器可能移除注释但保留内容。 利用JavaScript框架特性：如Vue.js的 v-html 指令或React的 dangerouslySetInnerHTML ，若未净化输入则易受XSS。 防护策略进阶建议 纵深防御：结合输入验证、输出编码、CSP和沙箱机制（如 iframe sandbox ）。 上下文感知编码：根据输出位置（HTML、JS、CSS）使用专用库（如OWASP Java Encoder、DOMPurify）。 CSP严格配置：避免 unsafe-inline 和 unsafe-eval ；使用nonce或hash白名单；定期审核允许域。 自动漏洞扫描和手动测试：使用工具（如Burp Suite、XSS polyglots）模拟复杂攻击向量。 安全开发培训：强调XSS变异的多样性，避免依赖单一防护层。 通过理解这些变异和绕过技术，开发者能更全面地设计防护机制，有效应对进阶XSS攻击。