一个凌晨三点，站脚攻击者往论坛私信里塞了段精心构造的本漏代码。受害者点开链接，洞危浏览器瞬间把这段代码当成页面的站脚一部分执行了。没有弹窗，本漏没有跳转，洞危只是站脚静默地把用户的登录凭证转发到了攻击者的服务器。第二天，本漏受害者登录自己的洞危网银，发现账户里少了八千块。站脚整个过程，本漏用户连异常都没察觉到。洞危

这就是站脚XSS——跨站脚本漏洞的真实杀伤力。它不像SQL注入那样直接掏数据库，本漏也不像文件上传漏洞那样能拿到服务器权限。洞危XSS攻击的是浏览器，是用户和网站之间的信任链。攻击者不需要攻破你的服务器，只需要找到一个能注入脚本的入口，剩下的交给浏览器去执行。

最讽刺的是，很多开发者觉得XSS“不就是弹个alert框嘛”。这种轻视让漏洞在评论区、搜索框、用户昵称这些不起眼的角落疯狂繁殖。攻击者把脚本藏在看似无害的输入里，比如一个红色字体的商品评论，或者一段伪装成图片链接的URL。当其他用户浏览到这些内容时，脚本就在他们的浏览器里生根发芽。

XSS的破坏力分三个层次。最低级的，是盗取Cookie。Cookie就像你家的钥匙，攻击者拿到它就能冒充你登录。稍微高级点的，是窃取页面里的敏感数据——比如你在后台填写的手机号、身份证、银行卡信息。最恐怖的，是结合CSRF攻击，让受害者在不知情的情况下发起转账、修改密码、删除数据。你以为自己只是看了条评论，实际上已经替攻击者完成了一笔交易。

有个真实案例让我印象极深。某电商平台的退款页面存在存储型XSS，攻击者在商品评价里塞了段脚本。每当有用户打开这个商品的详情页，脚本就会自动发起退款申请，把退款金额改成攻击者的支付宝账号。更绝的是，脚本还会偷偷修改收货地址，让平台寄出的“补发商品”直接送到攻击者手里。整个攻击链条持续了三个月，平台损失了上百万，直到有个细心的客服发现退款订单的收货地址异常才暴露。

别以为只有小网站才中招。Google、Facebook、Twitter都栽过跟头。2019年，安全研究员在Twitter的移动端发现了一个XSS漏洞，攻击者只需诱导用户点开一条特制的推文，就能完全控制用户的账号——发推、私信、改资料，无所不能。这些大厂的安全团队每天都在打补丁，但XSS就像地鼠，你按下这个洞，那边又冒出来一个。

更麻烦的是，现在的前端框架越来越复杂，JavaScript代码量动辄几十万行。开发者的一个疏忽——比如直接用innerHTML拼接用户输入，或者忘了对URL参数做编码——就可能留下一个致命的注入点。而且XSS的检测本身就难，静态扫描工具误报率极高，动态分析又跟不上攻击者的变形技巧。有些攻击者甚至能把脚本拆成碎片，分散在多个请求里，绕过所有WAF规则。

写到这里，我想起一个朋友的遭遇。他的个人博客被XSS攻击，攻击者篡改了页面上的所有链接，把下载地址全部指向一个恶意软件分发站。结果他的读者里有人中招，电脑被装了勒索病毒。朋友后来跟我说：“我以为博客就是写写字，没想到也会被人盯上。”是啊，XSS不分网站大小，只要有用户交互，就有攻击面。你永远不知道哪段看似无害的字符串，会成为攻击者手里的武器。