Web XSS攻击分类

Web XSS攻击分类

引言

XSS跨站脚本是最常见的Web漏洞，黑客注入JS代码，在用户浏览器执行，盗取cookie、劫持页面。建站开发必须了解XSS三种类型，针对性做好防护。

XSS三大类型

1. 存储型XSS：代码存入数据库，所有访问页面的用户都会触发，危害最大。例如评论区没有过滤，提交恶意js存入数据库。
2. 反射型XSS：恶意代码放在URL参数，用户点击链接，页面直接输出参数触发，不会存入数据库。
3. DOM型XSS：前端JS直接读取URL参数修改DOM，不经过后端服务，后端日志看不到攻击载荷。

基础防护方案

• 后端输出页面使用htmlspecialchars转义；
• 前端渲染数据不要直接innerHtml，优先textContent；
• 设置Cookie HttpOnly，防止JS读取cookie；
• 配置CSP内容安全策略。

简单示例漏洞代码

<?php
//危险代码，直接输出参数，存在反射XSS
echo $_GET['name'];
//安全写法
echo htmlspecialchars($_GET['name'],ENT_QUOTES);
?>

总结

XSS核心成因：把外部可控数据当成页面代码执行。存储型风险最高，DOM型容易被忽略。前后端配合做输出转义、CSP、HttpOnly Cookie，多层防护抵御XSS。