XSS跨站脚本攻击测试清单

要解决什么问题

XSS（跨站脚本）漏洞一直是Web应用安全的高频问题。开发者在将用户输入插入页面时，如果缺少适当的验证或编码，攻击者就能注入恶意脚本，在受害者浏览器中执行。这类漏洞可能导致会话劫持、钓鱼攻击、键盘记录等严重后果。然而，手工测试XSS往往依赖经验，容易遗漏边界条件或复杂上下文中的注入点。

这个技能提供一份系统化的XSS测试清单，帮助安全工程师和漏洞赏金猎人在测试Web应用时，按照结构化流程发现存储型、反射型、DOM型和盲XSS等多种类型的漏洞。

核心能力与工作方式

技能按照以下步骤组织测试流程：

1. 识别输入入口：扫描URL参数、表单字段、HTTP头（如 User-Agent、Referer）、文件上传、WebSocket、API端点等所有可能接收用户输入的位置
2. 注入测试载荷：根据输入被反射的上下文（HTML body、属性、JavaScript字符串、CSS、URL等），选择合适的payload进行测试
3. 验证执行效果：检查浏览器是否执行了JavaScript代码，对于盲XSS则观察是否触发了回调请求
4. 绕过防护机制：当基础payload无法执行时，尝试绕过标签过滤、字符串过滤、WAF规则等防护措施

技能还覆盖高级测试场景：

• CSP绕过：利用CSP配置错误、JSONP端点滥用、Trusted Types漏洞等方法绕过内容安全策略
• 变异XSS（mXSS）：利用浏览器解析器特性，通过合法HTML在解析后变异绕过WAF和消毒器
• DOM clobbering：通过命名冲突覆盖页面元素，触发DOM型XSS
• 多语言payload：构造能在不同上下文中工作的单一payload，提高测试效率

适用边界与注意事项

这份清单适用于Web应用安全测试和漏洞赏金项目，但需要注意：

• 测试前确保获得授权，仅在合法目标上使用
• 现代浏览器可能抑制跨域iframe或后台标签页中的 alert 对话框，建议使用 console.log、网络信标（fetch/XMLHttpRequest）或可观察的DOM变化来验证payload执行
• 不要仅依赖自动化扫描器，手工测试结合上下文感知的payload构造能发现更多漏洞
• 评估漏洞影响时考虑实际攻击场景：目标用户群体、可影响范围、能否升级攻击链

技能提供了完整的方法论，但实际测试仍需根据具体应用的架构、框架特性和业务逻辑进行调整。