XSS跨站脚本攻击：存储型、反射型、DOM型详解

概述

跨站脚本攻击（Cross-Site Scripting，简称XSS）是Web安全中最常见且危害极大的漏洞类型之一。它允许攻击者向可信任的网页注入恶意脚本，从而在用户浏览器端执行任意JavaScript代码，窃取敏感信息、劫持会话、进行钓鱼攻击，严重破坏应用安全性。

XSS主要分为三种类型：

存储型（Stored XSS）：恶意脚本长期存储在服务器端，如数据库、日志、评论区，用户访问时被动态加载执行。
反射型（Reflected XSS）：恶意脚本通过请求参数即时反射回响应页面，通常用于钓鱼邮件或诱导链接攻击。
DOM型（DOM-based XSS）：攻击利用客户端JavaScript DOM操作漏洞，导致脚本在浏览器端被执行，无需服务器端回显。

本文将深入分析三种XSS的原理，结合实战演示与代码示例，并给出切实可行的防御策略，助力开发者与安全工程师构筑坚实的应用防线。

原理分析

1. 存储型XSS

存储型XSS的典型场景是恶意代码被攻击者提交，并持久保存至服务器端数据存储中，如用户评论、论坛帖子或用户资料等。当其他用户浏览这些数据时，服务器将包含恶意脚本的内容原样渲染到页面，浏览器自动执行其中的脚本。

攻击链条：
1. 攻击者提交含恶意JS的表单数据。
2. 服务器将数据保存至数据库，未做有效过滤或转义。
3. 其他用户访问相关页面，服务器在响应中直接输出恶意脚本。
4. 浏览器解析并执行脚本，攻击得逞。

存储型XSS危害极大，尤其在用户群体广泛的平台，影响范围广且持久。

2. 反射型XSS

反射型XSS指的是攻击代码不存储在服务器，而是附加在请求参数内，服务器在响应中动态输出这些参数，若未做妥善编码，浏览器直接执行。通常攻击者诱使用户点击包含恶意脚本的URL，利用响应中的反射实现攻击。

攻击链条：
1. 攻击者构造包含恶意脚本的URL参数。
2. 受害者点击链接，浏览器发送请求带参数。
3. 服务器渲染并返回响应，直接包含攻击脚本。
4. 浏览器执行代码，攻击成功。

反射型XSS因恶意脚本不存储在服务器，仅在特定请求中存在，适合传播型攻击。

3. DOM型XSS

DOM型XSS的发生主要依赖客户端JavaScript代码对URL中的数据或DOM元素的操作不当，在纯客户端导致脚本执行。这类攻击不涉及服务器端输出编码缺陷，攻击者通过修改URL、片段标识符（hash）或其它客户端可控数据，触发漏洞。

攻击链条：
1. 攻击者构造恶意URL，包含危险的脚本片段。
2. 用户访问后，客户端JavaScript读取URL中的数据。
3. 代码未对输入做安全处理，直接操作DOM插入内容。
4. 恶意脚本在浏览器执行。

DOM型XSS难以通过服务器端过滤完全防御，侧重审计前端逻辑。

实战步骤与代码示例

存储型XSS演示（示例基于PHP + MySQL）

漏洞示范代码片段

// 保存评论（未做转义过滤）
if (isset($_POST['comment'])) {
    $comment = $_POST['comment'];
    $stmt = $pdo->prepare("INSERT INTO comments (content) VALUES (:comment)");
    $stmt->execute(['comment' => $comment]);
}

// 显示评论
$stmt = $pdo->query("SELECT content FROM comments");
while ($row = $stmt->fetch()) {
    echo "<p>" . $row['content'] . "</p>"; // 直接输出，漏洞点
}

攻击者提交：

<script>alert('XSS Stored');</script>

用户访问页面时弹窗，即存储型XSS攻击成功。

反射型XSS演示（基于GET参数）

<?php
if (isset($_GET['search'])) {
    $search = $_GET['search'];
    echo "搜索关键词是：" . $search; // 未做过滤
}
?>

访问URL：

http://example.com/page.php?search=<script>alert('Reflected XSS')</script>

浏览器执行alert框，产生反射型XSS。

DOM型XSS演示（JavaScript示例）

<!DOCTYPE html>
<html>
<head><title>DOM XSS Demo</title></head>
<body>
<p id="msg"></p>
<script>
    // 从URL hash中获取参数
    var hash = location.hash.substring(1); // 如 #<script>alert('DOM XSS')</script>
    document.getElementById('msg').innerHTML = hash; // 未编码，存在执行风险
</script>
</body>
</html>

恶意URL：

http://example.com/demo.html#<script>alert('DOM XSS')</script>

访问触发脚本执行，即DOM型XSS攻击。

防御建议

1. 统一输入校验与输出编码

输入验证不可避免，但关键是输出编码。所有反射或存储到页面的内容，都必须视场景进行严格Contextual Encoding：
- HTML文本节点内使用HTML实体编码（如&, <，>）。
- HTML属性内编码值（包括引号）。
- JavaScript上下文需转义特殊字符，如\'、\"、\n。
- URL参数应做URL编码。
使用成熟的模板引擎或安全编码库，避免手写拼接。

2. Content Security Policy (CSP)

部署合理的CSP策略，限制脚本资源加载，禁止内联脚本执行，可以极大缓解XSS攻击风险。

例如：

Content-Security-Policy: default-src 'self'; script-src 'self'; object-src 'none'

结合浏览器支持能力制定分阶段执行计划。

3. HTTPOnly和Secure Cookie

为所有会话Cookie添加HttpOnly和Secure参数，降低由于XSS导致的会话劫持风险。

4. 代码审计和前端加固

审查前端JavaScript代码是否存在危险DOM操作，避免直接使用innerHTML赋值不受信任内容。
采用安全的方法操作DOM，如使用textContent替换innerHTML，或借助安全的库（如DOMPurify）进行净化。
审慎处理所有来源于URL的动态内容。

5. 使用安全工具自动检测

集成静态代码分析工具（SAST）、动态扫描工具（DAST）和渗透测试工具，定期检测XSS漏洞。
对外开放Web应用应开启WAF规则（Web Application Firewall）作为防护网。

总结

XSS攻击是Web安全领域难以回避的老大难问题，但通过对三种主要类型的深入分析和理解，可针对不同攻击模式采用差异化防护：

存储型XSS强调服务器端输入净化与输出安全编码。
反射型XSS侧重请求参数处理和严格内容安全策略。
DOM型XSS需要审慎前端代码设计及客户端输出处理。

安全是一道系统工程，单点防护难以完美。结合开发规范、自动化检测、运行时防护和应急响应机制，方能建立稳固的安全防线。希望本文能为广大技术人员提供实用且专业的指导，助力企业构建可信赖的Web应用环境。

作者：资深网络安全专家
联系方式：请联系专业渠道获取更多安全培训和咨询服务

XSS跨站脚本攻击：存储型、反射型、DOM型详解

XSS跨站脚本攻击：存储型、反射型、DOM型详解

概述

原理分析

1. 存储型XSS

2. 反射型XSS

3. DOM型XSS

实战步骤与代码示例

存储型XSS演示（示例基于PHP + MySQL）

漏洞示范代码片段

反射型XSS演示（基于GET参数）

DOM型XSS演示（JavaScript示例）

防御建议

1. 统一输入校验与输出编码

2. Content Security Policy (CSP)

3. HTTPOnly和Secure Cookie

4. 代码审计和前端加固

5. 使用安全工具自动检测

总结

📱 获取更多实战教程