1. 项目概述与核心价值如果你正在学习Web安全尤其是跨站脚本攻击那么XSS-labs这个靶场绝对是你绕不开的实战训练场。我当年入门的时候就是靠着一个个靶场关卡把书本上那些抽象的概念比如反射型、存储型、DOM型XSS变成了手指敲出来的真实攻击载荷。XSS-labs由安全研究员do0dl3开源在GitHub上它模拟了20个不同难度和过滤场景的XSS漏洞点从最简单的无过滤到复杂的黑名单过滤、事件处理器绕过、编码混淆几乎涵盖了你在真实渗透测试中可能遇到的大部分XSS变种。这个靶场的价值远不止于“通关”。它更像一个精心设计的实验室让你能亲手去“破坏”从而深刻理解防御机制是如何被绕过的。很多新手会困惑为什么我写的scriptalert(1)/script在某些地方不弹窗为什么有的地方要用img src1 onerroralert(1)XSS-labs通过层层递进的关卡把答案掰开揉碎了给你看。今天我就带你从零开始手把手完成XSS-labs靶场的本地搭建并附上我通关全部20关的详细思路、踩过的坑以及一份可以作为“作弊小抄”的总结。无论你是刚接触安全的新手还是想系统梳理XSS知识的老兵这篇记录都能给你带来实实在在的收获。2. 靶场环境搭建与配置详解2.1 环境准备选择你的“手术台”搭建XSS-labs你首先需要一个能运行PHP的Web服务器环境。这里有几个主流选择各有优劣集成环境套件推荐新手如XAMPP、PHPStudy、WAMP。它们把Apache/Nginx、PHP、MySQL打包在一起一键安装省去大量配置麻烦。对于XSS-labs这种纯PHP、无需数据库的靶场用它们最方便。我个人在Windows上习惯用PHPStudy切换PHP版本非常灵活。Docker推荐有一定基础的用户如果你熟悉Docker可以快速拉取一个PHPApache的镜像来运行。这种方式环境隔离性好不污染宿主机用完即删。原生环境配置在Linux或macOS上手动安装Apache/Nginx和PHP。这种方式最灵活但需要一定的系统管理知识。注意无论选择哪种方式请确保你的PHP版本在5.4至7.4之间。XSS-labs代码较为古老在PHP 8.0及以上版本中某些函数如magic_quotes_gpc相关的模拟可能无法正常工作导致关卡行为与预期不符。PHPStudy可以很方便地在不同版本间切换。2.2 实战部署五步搞定靶场假设我们使用PHPStudy进行部署以下是详细步骤第一步下载靶场源码访问XSS-labs的GitHub仓库github.com/do0dl3/xss-labs。点击绿色的“Code”按钮选择“Download ZIP”将源码包下载到本地。第二步解压与放置将下载的ZIP文件解压你会得到一个名为xss-labs-master的文件夹。将这个文件夹重命名为你喜欢的名字比如xss-labs然后将其整个复制到PHPStudy的网站根目录下。对于PHPStudy V8版本根目录通常是phpstudy_pro/WWW/。第三步启动服务打开PHPStudy在“网站”页面确保Apache或Nginx和MySQL服务是停止状态因为XSS-labs不需要数据库。然后单独启动Apache服务。点击“管理”下的“打开网站”如果一切正常你的浏览器会打开一个页面显示“欢迎来到xss-labs的世界”。第四步访问与确认你也可以直接在浏览器地址栏输入http://localhost/xss-labs/来访问靶场首页。页面应该显示一个简单的列表从level1到level20这就是我们的闯关地图。第五步排错与验证如果页面显示错误如500内部服务器错误或PHP解析错误请按以下步骤排查检查PHP版本在PHPStudy中将当前站点的PHP版本切换到5.6或7.2等较低版本。检查文件权限确保WWW/xss-labs目录及其内部文件有可读权限。检查路径确认你访问的URL路径是否正确没有多余的子目录。2.3 核心文件结构解析部署成功后浏览一下靶场目录了解其结构对后续通关很有帮助index.php: 入口首页列出所有关卡。level1.php到level20.php: 每个关卡的挑战页面。level1.png到level20.png: 每个关卡的提示图片有时看图比看代码更直观。chk.js: 关键文件它定义了通关成功的验证逻辑。当你注入的代码成功执行alert(document.cookie)时会触发这个脚本弹出成功提示并跳转到下一关。angular.min.js: 一个前端框架库在某些关卡如level 18中会用到是考点之一。xsf01.swf等Flash文件在涉及Flash XSS的关卡中作为攻击向量。理解chk.js的作用至关重要。它意味着我们的目标非常明确在页面上执行任意JavaScript代码最终目的是弹出包含“document.cookie”的警告框。很多CTF题目可能要求弹出特定的字符串但这里就是标准的alert(document.cookie)。3. 通关思路与逐关精析接下来我们将进入核心的闯关环节。我将20个关卡分为四大类基础注入、过滤绕过、上下文突破、综合技巧。我会先给出每一类的核心思路再挑选最具代表性的关卡进行详细剖析并提供完整的Payload和思考过程。3.1 第一类基础注入Level 1-3这类关卡几乎没有防护目的是让你熟悉XSS payload的基本构造和注入点。核心思路找到页面将用户输入输出到HTML中的位置直接插入可执行的HTML/JS标签。Level 1GET参数反射观察URL中有一个name参数值直接显示在页面上h2 aligncenter欢迎用户test/h2。分析参数值未经过任何处理就放入HTML标签之间。这是最典型的反射型XSS。Payload:?namescriptalert(document.cookie)/script实操在URL中直接输入上述Payload页面中的“欢迎用户”后面会跟上一段脚本成功执行弹窗。Level 2搜索框中的注入观察有一个搜索框输入关键词后页面会显示“您搜索的关键词是xxx”。分析输入scriptalert(1)/script发现脚本被原样显示没有执行。查看页面源代码发现我们的输入被放在了input标签的value属性里input typetext valuescriptalert(1)/script。关键点我们被困在HTML标签的属性值里了。要逃逸出来需要先闭合前面的双引号和input标签。Payload:scriptalert(document.cookie)/script拆解用于闭合value属性的引号。用于闭合input标签。这样我们插入的script标签就成为了HTML文档流的一部分得以执行。Level 3属性值中的事件触发观察类似Level 2输入被放入value属性。但尝试闭合时发现单引号和双引号都被转义成了HTML实体apos;和quot;无法闭合。分析既然无法逃逸属性那就在属性内部做文章。HTML标签的属性可以绑定事件比如onclick,onmouseover,onerror等。Payload: onclickalert(document.cookie)拆解输入一个单引号与value中的开头引号闭合。然后添加事件处理器onclick其值用另一个单引号开头。最终构造的HTML为input value onclickalert(document.cookie)。此时点击这个输入框就会触发弹窗。心得当引号被转义时不要总想着“逃出去”想想能不能“在里面玩”。事件处理器是属性内执行JS的强大工具。3.2 第二类过滤与绕过Level 4-12从这部分开始靶场引入了各种过滤机制你需要像黑客一样思考如何绕过。核心思路分析服务器端对输入做了哪些处理过滤了哪些关键词、标签然后采用等价替换、编码、利用未过滤的标签/属性等方法绕过。Level 4script标签过滤观察输入script发现页面中这个标签消失了。分析后端可能用str_replace或preg_replace直接删除了script字符串。我们需要使用不被过滤的标签。Payload:img src1 onerroralert(document.cookie)原理img标签的src指向一个不存在的图片触发onerror事件执行JS。这是最常用的script替代方案之一。Level 5onxxx事件过滤观察输入script和onerror都被过滤了。尝试img src1 onerror...onerror会被干掉。分析过滤了常见的事件处理器名称。我们需要找其他可以执行JS且未被过滤的属性。a标签的href属性支持javascript:伪协议。Payload:a hrefjavascript:alert(document.cookie)点击/a扩展svg标签的onload事件也可能未被过滤可以尝试svg onloadalert(1)。Level 6大小写绕过观察script,onerror,href,javascript等关键词都被过滤。但如果你输入SCRIPT发现也被过滤了不这里有个陷阱。试试混合大小写。Payload:sCriptalert(document.cookie)/scRipt或img src1 oNerRoralert(1)原理很多简单的过滤是大小写敏感的。如果后端用str_replace(script, , $input)那么Script或ScRipt就能成功绕过。这是一个非常经典且古老的绕过技巧。Level 7关键词删除观察输入script变成。输入scrscriptipt变成script分析过滤逻辑是递归删除关键词“script”。你输入scrscriptipt它第一次删除中间的script剩下script但程序已经执行过一次替换不会对结果再进行第二次过滤。Payload:scscriptriptalert(document.cookie)/scscriptript技巧这种绕过方法叫“双写绕过”。同样适用于onerror写成onenrrorror等。关键在于理解过滤是单次、非递归的。Level 8HTML实体编码与链接注入观察有一个“添加友情链接”的功能输入内容会出现在a标签的href属性里但尖括号和双引号都被转义成了HTML实体lt;,quot;。分析无法插入新标签但可以篡改href属性。href属性值中的javascript:伪协议可能被过滤。尝试编码。Payload:javascript:alert(document.cookie)如果javascript被过滤尝试javascrip#x74;:alert(1)。这里使用了HTML实体编码#x74;来表示字母t在浏览器解析href属性时它会先解码最终变成javascript:。深入还可以利用Unicode编码、URL编码等多种编码方式测试后端过滤和解码的顺序。Level 9链接校验与协议伪装观察类似Level 8但后端会检查输入是否以http://开头。如果不是会提示“链接不合法”。分析我们需要构造一个以http://开头但实际能执行JS的href值。javascript:伪协议不行了。但我们可以利用http://这个字符串本身。Payload:http://www.baidu.com#javascript:alert(document.cookie)或http://javascript:alert(1)在某些浏览器解析下可能成功更可靠的Payload:javascript:alert(1)//http://www.baidu.comjavascript:alert(1)是我们要执行的代码。//是JavaScript的单行注释符它会让后面的http://...被当作注释忽略掉从而通过“以http开头”的校验。心得面对校验思考如何在不破坏校验规则的前提下嵌入恶意代码。注释符//、/**/以及利用#片段标识符都是常用手段。Level 10隐藏参数与事件触发观察页面只有三个文本输入框但查看源代码发现还有多个typehidden的隐藏输入框。分析GET/POST参数名t_link,t_history,t_sort对应着这些隐藏框。我们的输入会写入它们的value属性。目标是如何让隐藏元素触发JS关键隐藏输入框input typehidden无法直接与用户交互触发onclick等事件。但是我们可以通过修改DOM将其type属性改为text使其可见且可交互。或者寻找其他未被过滤的事件如onfocus。Payload:利用onfocus自动触发?t_sort onfocusalert(document.cookie) autofocus。这里闭合value引号添加onfocus事件并用autofocus属性让页面加载时自动聚焦到此元素从而触发事件。利用DOM修改通过另一个注入点如果存在或利用已有的JS代码来修改隐藏元素的属性。技巧遇到隐藏字段一定要查看页面源代码和网络请求了解所有可能的参数。onfocus、onblur等非交互式事件在隐藏字段利用中很关键。3.3 第三类上下文突破Level 13-16这类关卡的难点在于你的输入被放置在了特殊的上下文环境中如JavaScript代码块、字符串内部需要遵循该上下文的语法规则才能成功执行。核心思路先确定输入被插入的上下文HTML、JavaScript字符串、属性值等然后想办法跳出当前上下文并引入可执行的JS代码。Level 11Referer头注入观察页面输出中包含了HTTP请求的Referer头信息。分析XSS不仅存在于URL参数和表单HTTP请求头也是可能的输入源。服务器信任了Referer头并将其输出到页面。攻击你需要一个能修改HTTP请求头的工具。最常用的是Burp Suite。浏览器正常访问level11.php。用Burp Suite代理拦截这个请求。在拦截的请求中找到Referer头将其值修改为XSS Payload例如Referer: scriptalert(document.cookie)/script转发请求查看服务器响应弹窗成功。意义这一关拓宽了对“输入源”的认识。任何客户端可控并发送到服务器且被服务器信任并输出的地方都可能是漏洞点。其他头如User-Agent、X-Forwarded-For也常被测试。Level 12User-Agent头注入观察页面输出了你的浏览器User-Agent信息。分析原理同Level 11只是注入点换成了User-Agent头。Payload在Burp中修改:User-Agent: onmouseoveralert(document.cookie)。这里假设输出点在属性值内用事件处理器触发。工具使用心得使用Burp Suite时确保浏览器代理设置正确并关闭拦截请求后自动更新的功能如一些浏览器的“安全”功能会覆盖修改后的User-Agent。Level 13Cookie注入观察页面似乎输出了与Cookie相关的内容。分析Cookie是另一个重要的HTTP头部同样可能被服务器输出。你需要修改当前会话的Cookie值。攻击浏览器访问关卡页面。按F12打开开发者工具进入“应用程序”(Application)或“存储”(Storage)标签页找到Cookies。找到与当前域名对应的Cookie可能是user或其他名称将其值修改为XSS Payload例如 onfocusalert(document.cookie) autofocus。刷新页面触发弹窗。注意某些Cookie可能有HttpOnly属性这表示JavaScript无法通过document.cookie读取或修改它但浏览器发送请求时依然会携带它。服务器端输出时若不加过滤仍可能导致XSS。HttpOnly主要防御的是Cookie被窃取而非XSS攻击本身。Level 14EXIF信息注入需额外资源观察这是一个图片上传点或者与图片显示相关的功能。分析某些应用程序会读取图片的EXIF元数据如拍摄时间、相机型号、GPS坐标等并显示在网页上。如果读取后未经处理直接输出就可能造成XSS。实操这关需要准备一张包含恶意EXIF信息的图片。你可以使用exiftool这个命令行工具。exiftool -Artistscriptalert(1)/script normal.jpg -o malicious.jpg这条命令将Artist艺术家字段修改为XSS Payload。上传malicious.jpg如果服务器端程序读取并输出了Artist字段漏洞即触发。难点这关环境可能依赖特定的图像处理库如PHP的exif_read_data函数且需要服务器配置开启EXIF读取功能。如果本地环境无法复现理解原理即可。它揭示了“非传统”输入源的威胁。3.4 第四类综合技巧与高级利用Level 15-20最后这几关综合运用了前面的知识并引入了一些更高级的概念和绕过技巧。Level 15AngularJS Client-Side Template Injection (CSTI)观察页面引入了angular.min.js并且URL中有一个src参数其值被放入一个ng-include指令中。分析ng-include是AngularJS 1.x中用于动态包含外部模板的指令。如果用户能控制ng-include的值且AngularJS处于旧版本或未严格配置可能造成客户端模板注入。关键知识在AngularJS 1.x中{{ 11 }}这样的表达式会在客户端被计算并渲染。更危险的是在旧版本或沙箱逃逸后可以访问$scope上的构造函数最终执行任意JS。Payload:?srcng-include onloadalert(1)可能是一种尝试。但更经典的AngularJS CSTI Payload可能类似?src{{constructor.constructor(alert(1))()}}。注意这关高度依赖AngularJS的版本和配置。现代AngularJS默认沙箱更严格。通关可能需要查阅特定版本的沙箱逃逸技巧。其核心是理解前端框架也可能因为不安全地融合用户输入和数据绑定而引入XSS。Level 16空格/回车符绕过观察输入script、on等关键词会被过滤或转义。尝试img src1 onerroralert(1)发现onerror中的空格被替换成了#或其他字符导致语法错误。分析过滤了空格目的是破坏HTML标签属性的分隔。我们需要找到空格的替代品。Payload:img/src1/onerroralert(1)或img%0asrc1%0aonerroralert(1)原理Tab (/t)或换行 (/n,%0a)在HTML解析中标签名、属性名和值之间的空白字符空格、Tab、换行通常是可以互换的。使用Tab( )或URL编码的换行符(%0a)可以绕过对空格的过滤。斜杠 (/)在某些上下文如img的src属性后直接跟/也可以被解析。技巧当关键字符被过滤时回忆一下该上下文HTML、JS、URL中哪些字符具有等价功能。Level 17Flash XSS (CVE-2014-6331等)观察页面嵌入了一个Flash文件.swf并且URL参数会传递给这个Flash。分析这是模拟一个历史上真实存在的Flash漏洞。Flash ActionScript代码中如果使用loadVariables、ExternalInterface.call等函数不当处理flashvars参数可能导致注入。Payload构造通常需要分析SWF文件的反编译代码找到可控参数和敏感函数如getURL、eval。一个可能的简化Payload模式是?arga;alert(1);//通过闭合Flash内部的字符串来注入JS。现状由于Flash Player已彻底被淘汰这类漏洞在现代Web中已几乎绝迹。但这一关的历史意义在于提醒我们浏览器插件、第三方组件同样是攻击面。如今类似的思路可以应用到PDF渲染器、视频播放器等组件上。Level 18 19 20DOM型XSS与复杂解析观察这几关的页面源码中看不到明显的服务器端回显。用户输入经过一段JavaScript处理后动态地更新了页面某部分的内容。分析这是典型的DOM型XSS。漏洞发生在客户端JavaScript代码中例如使用innerHTML、document.write、eval、setTimeout等函数时未对用户输入进行净化就直接拼接并执行。通关方法查看前端JS源码按F12打开开发者工具在“源代码”(Sources)标签页中找到并分析关卡对应的JS代码逻辑。寻找Sink点查找像innerHTML、location.hash、eval、setInterval、Function构造函数等危险的“接收器”(Sink)。追踪Source点查找像location.search、location.hash、document.referrer、window.name、postMessage等用户可控的“源”(Source)。构造Payload根据源码逻辑构造能够从Source流到Sink并成功执行的字符串。例如如果代码是document.getElementById(div1).innerHTML location.hash.substring(1);那么Payload可以是#img src1 onerroralert(1)。难点DOM型XSS的触发条件可能很隐蔽需要仔细阅读JS代码理解数据流。它不依赖于服务器响应所以传统的流量拦截工具如Burp可能抓不到触发请求因为攻击完全在浏览器内完成。防御DOM型XSS必须在JS代码中对来自不可信源的数据进行输出编码或使用安全的API如textContent替代innerHTML。4. 通关总结与防御启示通关这20个关卡相当于完成了一次系统的XSS攻防思维训练。我们来梳理一下核心的绕过技巧和对应的防御哲学。4.1 XSS Payload构造技巧速查表过滤/限制场景核心绕过思路示例Payloadscript标签被过滤使用其他可执行JS的HTML标签img src1 onerroralert(1)svg onloadalert(1)body onloadalert(1)onxxx事件被过滤使用其他属性执行JSa hrefjavascript:alert(1)点击/aiframe srcjavascript:alert(1)关键词大小写敏感过滤大小写混淆ScRiPtalert(1)/sCrIpTImG sRc1 oNeRrOralert(1)关键词删除非递归双写绕过scscriptriptalert(1)/scscriptriptoonnerror空格被过滤使用Tab、换行符或其他分隔符img/src1/onerroralert(1)img%0aonerroralert(1)引号被HTML实体编码利用事件处理器不闭合引号 onclickalert(1)需用户交互尖括号被编码在现有属性内利用事件或利用JS上下文见Level 3, Level 10javascript:伪协议被过滤利用HTML/URL编码javascrip#x74;:alert(1)java%0ascript:alert(1)输出在JavaScript字符串中闭合字符串插入代码;alert(1);///scriptscriptalert(1)/script输出在HTML注释中使用--提前结束注释--scriptalert(1)/script严格的输入过滤寻找冷门标签/属性或二次编码details open ontogglealert(1)mathmtext/mathmglyph srcx onerroralert(1)4.2 从攻击者视角看防御要点作为开发者理解这些攻击手法才能写出更安全的代码。防御XSS必须遵循一个核心原则对所有不可信的数据进行输出编码并明确其输出上下文。输入验证 vs 输出编码输入验证是必要的但不足以防御XSS。它像门卫可以拒绝明显错误的数据如格式不对但无法判断数据是否“恶意”。攻击者的Payload可能看起来完全正常如一个带事件处理器的图片标签。输出编码是治本之策。在将数据输出到HTML、JavaScript、CSS、URL等不同上下文时使用对应的编码函数。输出到HTML正文使用HTML实体编码如PHP的htmlspecialchars($str, ENT_QUOTES)确保编码单双引号。输出到HTML属性同上必须编码引号。输出到JavaScript使用JavaScript Unicode转义/uXXXX或使用JSON.stringify()。输出到URL参数使用URL编码urlencode。使用安全的API和框架避免使用innerHTML、document.write、eval()、setTimeout(string)等危险的DOM操作。优先使用textContent、setAttribute、addEventListener等。使用现代前端框架如React, Vue, Angular时它们通常提供默认的上下文感知输出编码。但要注意危险地使用v-htmlVue或dangerouslySetInnerHTMLReact等特性。实施内容安全策略 (CSP)CSP是一个强大的深度防御措施。通过HTTP头Content-Security-Policy你可以告诉浏览器只允许加载来自特定源的脚本、样式、图片等。即使网站存在XSS漏洞攻击者也无法加载和执行外部的恶意脚本。一个严格的CSP头可以极大地增加攻击难度。例如Content-Security-Policy: default-src self; script-src self。设置安全的Cookie属性为会话Cookie设置HttpOnly属性防止通过document.cookie被窃取。设置Secure属性确保Cookie仅通过HTTPS传输。考虑使用SameSite属性来防御CSRF攻击。4.3 个人实操心得与避坑指南环境一致性在本地搭建靶场时PHP版本是最常见的坑。如果关卡行为与预期不符比如该过滤的没过滤首先检查PHP版本是否在5.4-7.4之间。思维不要僵化不要死记Payload。Level 7的双写绕过、Level 16的空格替换其本质都是理解过滤逻辑的缺陷。多尝试多查看页面源代码CtrlU和网络请求F12 Network看看你的输入到底被处理成了什么样子。工具是延伸的手从Level 11开始Burp Suite或类似的代理工具几乎是必备的。它不仅能改请求头还能重放请求、暴力猜解参数是Web安全测试的瑞士军刀。花时间熟悉它绝对值得。DOM型XSS的调试遇到DOM型关卡浏览器的开发者工具“调试器”(Debugger)是你的主战场。学会设置断点、单步执行、观察变量值可以清晰地看到数据是如何从Source流到Sink的。超越靶场XSS-labs覆盖了大部分经典场景但现实更复杂。多看看真实世界的漏洞报告如HackerOne上的公开报告了解那些脑洞大开的绕过技巧比如利用CSS注入、SVG向量、浏览器特性如math标签等。通关XSS-labs不是终点而是一个扎实的起点。它赋予你的不是一堆可以复制的Payload而是一种“黑客思维”永远以怀疑的眼光看待用户输入永远思考“如果我是攻击者我会怎么做”。带着这种思维去审视自己写的代码你自然就知道该在哪里加上htmlspecialchars该在哪里避免使用innerHTML。安全本质上是一场攻防的博弈而最好的防御始于理解攻击。