# Xss
> XSS 测试技能 —— 面向真实业务系统，区分渲染上下文（HTML/属性/JS/CSS/URL），覆盖存储型/反射型/DOM 型，对抗 CSP 与输入过滤，产出可复现 PoC
- Skill: `cdxiaodong/xss` (Agent Skill)
- Install (CLI): `npx skillmds@latest add cdxiaodong/xss`
- Raw SKILL.md: https://api.skillmd.com/api/skills/cdxiaodong/xss/raw
- Safety review: pending
- Works with: Claude Code, Claude.ai, OpenAI Codex
- Category: Web & Frontend
- Author: cdxiaodong (https://skillmd.com/u/cdxiaodong)
- Updated: 2026-09-17
- Page: https://skillmd.com/skills/cdxiaodong/xss
---
# 跨站脚本测试技能（XSS）
> 定位：面向**真实业务系统**的注入验证。核心难点不是找一个能弹 `alert` 的点，而是判断「用户输入最终落在哪个渲染上下文、该上下文的转义是否真实生效、能否在浏览器实际执行」——多数 XSS 误报源于没区分上下文就下结论。
## 触发条件
满足以下任一信号即应进入本技能：
- 参数值在响应中被**原样或部分回显**（侦察阶段 `endpoints.json` 已标注回显点）：搜索结果页回显关键词、个人资料页回显昵称/签名、错误页回显输入、列表页回显排序字段。
- 回显点位于不同上下文需分别评估：HTML 正文（`{name}
`）、属性（``）、JavaScript 字符串（`var q = "{q}";`）、CSS（`background:url({x})`）、URL（``）——同一参数可能多上下文回显，每处单独评估。
- 用户输入持久化并在后续页面渲染：评论、笔记、工单、个人资料、消息——存储型 XSS 的影响半径远大于反射型，优先级更高。
- 客户端存在基于不可信输入的 DOM 操作：URL hash / `location.search` 被 `innerHTML` / `document.write` / `eval` / 模板引擎（Vue `v-html`、React `dangerouslySetInnerHTML`）消费。
- 富文本/Markdown 渲染器存在：WYSIWYG 编辑器（CKEditor/TinyMCE）、Markdown 转 HTML（marked/markdown-it）——这些组件的 sanitizer 配置错误是高发点。
- CSP 头存在但策略宽松：`script-src` 含 `unsafe-inline` / `unsafe-eval` / 大量 CDN 域名 / 通配符 `*`，或存在可被滥用上传 JS 的可信域（JSONP endpoint、CDN 资源）。
## 三层测试模型
> 对齐 DESIGN §3.1。XSS 的 L1/L2/L3 划分核心是「上下文判定」与「是否真执行」，而非 payload 多寡。
### L1 探测
目标：确认用户输入在响应中存在、并定位其渲染上下文，不急于弹窗。
- 回显确认：传一个唯一标记（如 `cainxss7f3a`），在响应源码中 grep 该标记，定位所有回显位置及其所在上下文（HTML body / 属性值 / script 块 / style / href）。
- 转义检测：传入 `<>"'=()/ \` 这些「上下文元字符」，检查响应中它们是被转义（`<` / `"` / `\\`）、编码（`\u003c`）、过滤（直接消失）、还是原样保留——每个回显点单独记录「过滤面」。
- 上下文细分：属性内回显要看是否在引号内、引号类型（单/双/无引号）、属性类型（事件属性 `onload` / 普通 `value` / URL `href` / `src`）；JS 上下文要看字符串定界符、是否在模板字符串 `` ` `` 内。
### L2 验证
目标：证明在该上下文下输入能**突破当前上下文进入可执行上下文**，并在浏览器真实执行。
- HTML 正文上下文：若 `<` 未转义，用 `
` / `