# Xss HTML Injection > 对 Web 应用执行全面的客户端注入漏洞评估，识别 XSS 和 HTML 注入缺陷，演示会话劫持和凭据窃取等利用技术，并验证输入净化和输出编码机制。触发词：XSS、HTML 注入、跨站脚本、客户端注入、会话劫持、凭据窃取、CSP 绕过、DOM XSS、存储型 XSS、反射型 XSS、输入净化、输出编码、安全测试、漏洞评估、payload 编写、过滤绕过、WAF 绕过。 - Skill: `kscz0000/xss-html-injection` (Agent Skill) - Install (CLI): `npx skillmds@latest add kscz0000/xss-html-injection` - Raw SKILL.md: https://api.skillmd.com/api/skills/kscz0000/xss-html-injection/raw - Safety review: pending - Works with: Claude Code, Claude.ai, OpenAI Codex - Category: Web & Frontend - Author: kscz0000 (https://skillmd.com/u/kscz0000) - Updated: 2026-09-21 - Page: https://skillmd.com/skills/kscz0000/xss-html-injection --- > 授权使用声明：本技能仅可在授权安全评估、防御性验证或受控教育环境中使用。 # 跨站脚本与 HTML 注入测试 ## 目标 对 Web 应用执行全面的客户端注入漏洞评估，识别 XSS 和 HTML 注入缺陷，演示会话劫持和凭据窃取等利用技术，并验证输入净化和输出编码机制。本技能支持针对存储型、反射型以及基于 DOM 的攻击向量进行系统化的检测与利用。 ## 输入 / 前置条件 ### 所需访问权限 - 目标 Web 应用 URL，包含用户输入字段 - Burp Suite 或浏览器开发者工具，用于请求分析 - 创建测试账号的权限，用于存储型 XSS 测试 - 启用 JavaScript 控制台的浏览器 ### 技术要求 - 了解浏览器上下文中的 JavaScript 执行机制 - 掌握 HTML DOM 结构与操作 - 熟悉 HTTP 请求/响应头 - 理解 Cookie 属性与会话管理 ### 法律前置条件 - 获得书面的安全测试授权 - 明确范围，包括目标域名与功能 - 约定对任何捕获会话数据的处理方式 - 建立事件响应流程 ## 输出 / 交付物 - 包含严重性分级的 XSS/HTMLi 漏洞报告 - 证明影响的漏洞利用 payload 概念验证 - 会话劫持演示（受控环境下） - 包含 CSP 配置的修复建议 ## 核心工作流 ### 阶段 1：漏洞检测 #### 识别输入反射点 定位用户输入在响应中被反射的区域： ``` # 常见注入向量 - 搜索框与查询参数 - 用户资料字段（姓名、简介、评论） - URL 片段与哈希值 - 显示用户输入的错误信息 - 仅进行客户端验证的表单字段 - 隐藏的表单字段与参数 - HTTP 头（User-Agent、Referer） ``` #### 基础检测测试 插入测试字符串，观察应用行为： ```html ``` 监控以下情况： - 未经编码的原始 HTML 反射 - 部分编码（部分字符被转义） - 浏览器控制台中的 JavaScript 执行 - 检查器中可见的 DOM 修改 #### 判断 XSS 类型 **存储型 XSS 特征：** - 页面刷新后输入仍然存在 - 其他用户可看到被注入的内容 - 内容存储于数据库或文件系统 **反射型 XSS 特征：** - 输入仅在当前响应中出现 - 需要受害者点击精心构造的 URL - 不会跨会话持久化 **基于 DOM 的 XSS 特征：** - 输入由客户端 JavaScript 处理 - 服务器响应中不包含 payload - 利用过程完全在浏览器内完成 ### 阶段 2：存储型 XSS 利用 #### 识别存储位置 针对具有持久化用户内容的目标区域： ``` - 评论板块与论坛 - 用户资料字段（昵称、简介、所在地） - 商品评价与评分 - 私信与聊天系统 - 文件上传元数据（文件名、描述） - 配置设置与偏好 ``` #### 构造持久化 Payload ```html

Session Expired - Please Login

Username:
Password:
``` ### 阶段 3：反射型 XSS 利用 #### 构造恶意 URL 构建包含 XSS payload 的 URL： ``` # 基础反射型 payload https://target.com/search?q= # URL 编码 payload https://target.com/search?q=%3Cscript%3Ealert(1)%3C/script%3E # 参数中的事件处理器 https://target.com/page?name="> # 基于片段（用于 DOM XSS） https://target.com/page# ``` #### 投递方式 将反射型 XSS 投递给受害者的技术： ``` 1. 携带构造链接的钓鱼邮件 2. 通过社交媒体消息分发 3. 使用 URL 短链混淆 payload 4. 编码恶意 URL 的二维码 5. 通过可信域名的重定向链 ``` ### 阶段 4：基于 DOM 的 XSS 利用 #### 识别危险接收点（Sink） 定位处理用户输入的 JavaScript 函数： ```javascript // 危险接收点 document.write() document.writeln() element.innerHTML element.outerHTML element.insertAdjacentHTML() eval() setTimeout() setInterval() Function() location.href location.assign() location.replace() ``` #### 识别输入源（Source） 定位用户可控数据进入应用的位置： ```javascript // 用户可控输入源 location.hash location.search location.href document.URL document.referrer window.name postMessage data localStorage/sessionStorage ``` #### DOM XSS Payload ```javascript // 基于 hash 的注入 https://target.com/page# // URL 参数注入（客户端处理） https://target.com/page?default= // postMessage 利用 // 在攻击者页面中： ``` ### 阶段 5：HTML 注入技术 #### 反射型 HTML 注入 在不使用 JavaScript 的情况下修改页面外观： ```html

SITE HACKED

``` #### 存储型 HTML 注入 持久化的内容篡改： ```html Important Security Notice: Your account is compromised!
Fake login form or misleading content here
``` ### 阶段 6：过滤器绕过技术 #### 标签与属性变体 ```html