内容摘要：我盯着一台老旧的Windows XP虚拟机发呆，屏幕上那个经典的蓝天白云壁纸和绿色任务栏让我恍惚回到了2008年。光标悬停在IE6的图标上，我的手指微微发颤。点击它，就意味着我主动跳进一个早已被宣布死

我盯着一台老旧的Windows XP虚拟机发呆，屏幕上那个经典的蓝天白云壁纸和绿色任务栏让我恍惚回到了2008年。光标悬停在IE6的图标上，我的手指微微发颤。点击它，就意味着我主动跳进一个早已被宣布死刑的数字坟场——但正是这种明知有鬼还要撞上去的感觉，让我兴奋。

虚拟机里的IE6像一扇锈迹斑斑的后门。我输入一个精心构造的URL，页面加载到一半就卡住了，然后弹出一个灰白色的错误框，上面是熟悉的乱码。那一刻我明白了，所谓的“xxs漏洞”，在2010年之前是黑客的狂欢节，在2020年之后，它成了一种数字考古学。

你大概猜到了，我说的是跨站脚本攻击（XSS）。但别急着翻教科书，我讲的是另一种“xxs”——一个被无数安全报告用烂了的缩写，在真实世界里却仍然像野草一样顽强。去年我帮朋友检查一个还在运营的论坛，那个论坛用的是2009年的phpBB版本，管理员说“没人会黑我们这种小站”。我随手在搜索框输入了``，浏览器立刻弹出一个警告框。那一刻，论坛管理员的脸色比屏幕上的弹窗还白。

这种漏洞的本质说白了就一句话：你让用户输入的东西，被当成代码执行了。但这句话背后藏着的是人性的懒惰。开发者懒得过滤输入，懒得编码输出，懒得更新框架。于是十几年过去了，OWASP Top 10里XSS依然高居榜首，仿佛一个永远杀不死的僵尸。

真正让我后背发凉的不是技术本身，而是它的传播方式。有个经典的案例：某电商平台在商品评价里没做转义，黑客把恶意脚本藏在评价文本里。当别的用户浏览这个商品时，脚本就悄悄运行，窃取cookie、篡改页面、甚至模拟转账。整个过程用户毫无感知，就像你在超市里被人从口袋里摸走了钱包，而监控摄像头正好坏了。

我见过最讽刺的场面是在一场安全培训会上。讲师演示XSS攻击时，台下坐着一群程序员，有人小声嘀咕：“这年头谁还写这种代码？”可培训结束后的茶歇环节，我瞥见某个人的手机屏幕，他正在调试的代码片段里赫然写着`innerHTML = response.data`——没有做任何转义。我差点把咖啡喷出来。

别以为只有老古董才会有这种问题。现代前端框架React、Vue确实默认转义，但总有开发者图省事用`dangerouslySetInnerHTML`或者`v-html`。就像你买了辆带自动刹车的新车，却偏要手动关掉安全系统，然后怪路况太差。

写到这里，我打开那个虚拟机的IE6，输入了一个测试用的payload。浏览器卡顿了两秒，然后弹出一个写着“pwned”的对话框。我关掉虚拟机，心里有种说不出的滋味。这个漏洞不会消失，它只是换了一张脸，藏在某个社交APP的表情包上传接口里，或者藏在某个政府网站的搜索框后面。你问怎么防？记住一条铁律：永远不要相信用户的输入。但现实是，更多人选择相信“我不会被盯上”。

窗外天黑了，我合上笔记本。那个弹窗还在我视网膜上残留着，像一道数字时代的鬼影。下次你在某个网站上输入一段文字时，不妨想想，你敲下的每个字符，可能正在等待被另一个人变成武器。