XSS漏洞危害

一个电商网站的洞危评论区，用户留言里嵌入了一段看起来人畜无害的洞危JavaScript代码。你点开商品页面，洞危浏览器执行了这段代码，洞危你的洞危登录Cookie被悄无声息地发到了攻击者的服务器上。整个过程不到一秒，洞危你什么都没感觉到，洞危但你的洞危账户已经不属于你了。

这就是洞危XSS（跨站脚本攻击）的日常。它不像SQL注入那样直接掀翻数据库，洞危也不像DDoS那样让服务器瘫痪。洞危XSS更像一根细针，洞危扎进用户和网站之间的洞危信任关系里，然后慢慢把血抽干。洞危

Cookie窃取只是洞危起点

很多人对XSS的理解停留在“弹个alert框”的阶段。确实，最基础的XSS测试就是看页面能不能弹出alert(1)。但弹窗只是证明漏洞存在，真正的攻击远比这阴险。

攻击者拿到你的Cookie，等于拿到了你的会话令牌。很多网站只要Cookie有效，就认为你是合法用户。不需要密码，不需要短信验证，直接以你的身份登录。你在购物车里的商品、你的收货地址、你的支付绑定，全部暴露。

更麻烦的是，如果网站有CSRF防护但没做好XSS过滤，攻击者可以绕过所有防护。因为XSS是在你的浏览器里、以你的身份执行的请求，CSRF token照样能被读取和发送。防护形同虚设。

钓鱼攻击的完美载体

我见过一个真实案例。某在线文档平台存在存储型XSS，攻击者在共享文档里插入了一段脚本。这段脚本会在页面加载时，把文档的编辑界面替换成一个“请重新输入密码以继续编辑”的弹窗。样式和平台原生弹窗一模一样。

用户输入密码，脚本把密码发走，然后弹窗消失，一切恢复正常。用户甚至以为自己只是手滑点错了什么。这种攻击的转化率极高，因为用户信任的是文档平台的域名，不是攻击者的。

XSS让钓鱼不再需要伪造域名。URL是对的，HTTPS锁是绿的，页面是你熟悉的。唯一不对的是，页面里多了一段你看不见的代码。

从用户到管理员

存储型XSS最危险的地方在于，它可能打到管理员后台。一个论坛的帖子内容没有过滤，管理员审核帖子时，恶意脚本在管理员的浏览器里执行。攻击者可以以管理员身份创建新用户、修改权限、删除日志，甚至直接拿下服务器。

从普通用户到管理员，中间只隔了一次“审核通过”。很多后台管理系统对用户输入的处理比前台还粗糙，因为开发者默认“管理员看到的内容是安全的”。这个假设本身就是漏洞。

为什么XSS屡禁不止

输出编码、输入过滤、CSP策略，方案早就有了。但现实是，前端框架换了一茬又一茬，业务需求永远比安全需求跑得快。产品经理说“这个富文本编辑器要支持自定义HTML”，开发说“先上线再说”，安全团队说“这里需要转义”，然后上线日期提前了一周。

XSS的修复成本很低，但发现成本很高。一个大型网站可能有几百个输入点和输出点，漏掉一个就是漏洞。自动化扫描工具能覆盖一部分，但业务逻辑复杂的场景，工具经常误报或漏报。最终还是要靠人去看、去测、去猜。

我自己的判断是：只要Web应用还在拼接HTML，XSS就不会消失。它可能换个形式，从反射型变成DOM型，从script标签变成事件属性，但本质没变——浏览器分不清哪些代码是网站写的，哪些是攻击者写的。

一个容易被忽略的后果

XSS漏洞被利用后，网站的品牌损失往往比数据损失更大。用户不会区分“网站被XSS攻击”和“网站泄露了我的密码”。他们只会记住“在这个网站上被盗号了”。修复漏洞可能只需要一天，但重建信任需要一年。

更讽刺的是，很多网站在漏洞被公开后，第一反应是发声明说“已修复，请用户放心”。但用户已经看到了攻击者留下的痕迹——一条奇怪的评论、一个异常的重定向、一次莫名其妙的掉线。这些细节比声明更有说服力。

XSS不直接破坏系统，它破坏的是人和系统之间的那层薄薄的信任。而这层信任，恰恰是互联网上最脆弱也最值钱的东西。