xss网页挂马创建木马

一个XSS漏洞能变成什么？页挂多数人以为只是弹个alert框，或者偷个cookie。马创马真正狠的建木玩法，是页挂把它变成一台播种机——把木马直接种进访问者的浏览器里。这不是马创马理论推演，我见过真实案例：某论坛的建木评论区，一条看似普通的页挂帖子，点进去三秒，马创马你的建木电脑就开始下载恶意程序。

整个过程不复杂，页挂但需要点逆向思维。马创马XSS的建木本质是注入脚本，而脚本能干的页挂事远超你想象。攻击者先找到目标站点的马创马存储型XSS——比如留言板不过滤标签，然后写入一段JavaScript。建木这段代码不搞破坏，它的任务是探测访问者的浏览器指纹：版本、插件、是否有Flash、是否允许ActiveX。探测完，它动态生成一个iframe，指向攻击者控制的服务器。

关键就在这个iframe里。服务器会根据刚才收集的指纹，返回对应的攻击代码。老版本IE？直接下马。装了旧版Flash？用swf漏洞打。全是最新补丁？那就换个思路，用社会工程学，弹个假更新提示，诱导用户自己点“安装”。整个过程像流水线，每个访问者走不同的通道，但终点都一样——木马落地。

有意思的是，这种挂马方式比直接放个恶意链接隐蔽得多。链接会被人看见，会被安全软件扫描，但XSS注入的脚本是混在正常页面里的。用户以为自己在访问正规网站，实际上每个动作都在被脚本监视。更阴险的是，攻击者可以控制脚本只对特定IP段或特定浏览器生效，扫描器抓不到，普通用户也毫无感知。

我试过一次模拟攻击，在本地搭了个测试站。注入的脚本先检测navigator.userAgent，如果是Chrome 120以上，就返回一个无害的空白页；如果是Firefox 78，就尝试利用一个已知的PDF插件漏洞。结果Firefox那台虚拟机真中招了，进程列表里多了个svchost.exe的可疑进程。那一刻我才明白，XSS挂马不是传说，是每天都在暗网交易市场里流通的实战工具。

防护手段说起来也简单：输出编码、CSP策略、HttpOnly cookie，都能挡掉大部分脚本注入。但现实是，很多开发者连基本的htmlspecialchars都没用对。我审计过一个小型电商系统，商品描述字段直接拼接进页面，连单引号都没转义。这种站点，攻击者只需要一个商品上传权限，就能把整个后台变成木马分发中心。

别以为挂马只针对PC。移动端浏览器同样中招，只是利用的漏洞不同。比如某些国产浏览器内置的“加速”功能会放宽CSP限制，这反而给了攻击者机会。我见过一个针对安卓的案例，XSS脚本检测到移动端后，自动跳转到伪装成系统更新的APK下载页。用户一旦安装，通讯录、短信、相册全被扒走。

所以，别把XSS当小毛病。它一旦和木马结合，就成了一个自动化武器。防御的关键不在服务器端，而在每一行输出代码里。你写的那句`innerHTML = userContent`，可能就是别人进入你用户电脑的钥匙。下次看到XSS报告，别急着关工单，想想它背后能挂多少东西。