xxs跨站脚本漏洞

别笑，站脚我故意把XSS打成xxs的本漏——因为我在某个后台日志里真见过有人这么提交漏洞报告，管理员回复“已修复”，站脚然后攻击者用同样的本漏payload又打了一次。这事比漏洞本身更讽刺。站脚

XSS的本漏本质很简单：你往网页里塞了一段代码，浏览器把它当亲儿子执行了。站脚比如评论区里写``，本漏如果网站不设防，站脚你发出去，本漏别人一打开页面就弹窗。站脚弹窗是本漏闹着玩，但换成``呢？用户登录态直接打包送走。

我见过最离谱的本漏案例是某电商平台。攻击者在商品描述里插入了一段恶意脚本，站脚专门窃取支付页面上的银行卡号。更绝的是，他利用的是商品图片的`onerror`事件——图片加载失败就触发脚本。管理员审核商品时图片正常显示，因为服务器有缓存；但用户点进去，图片源被篡改成不存在的地址，脚本瞬间激活。这招绕过了所有人工审核，直到三个月后有人发现退款记录异常才追查出来。

XSS分三种，但实战里最恶心的是存储型。反射型好歹要骗你点个链接，DOM型还得费劲构造URL，存储型直接把炸弹埋进数据库里——你只要登录网站，它就炸。论坛、评论区、用户昵称，全是重灾区。有个经典玩法叫“永久XSS”：把恶意脚本写进用户头像的URL字段，管理员后台一加载列表，脚本就在管理员的浏览器里执行了，权限直接到手。

很多人觉得“过滤`