xss

name	xss
description	XSS 测试技能 —— 面向真实业务系统，区分渲染上下文（HTML/属性/JS/CSS/URL），覆盖存储型/反射型/DOM 型，对抗 CSP 与输入过滤，产出可复现 PoC
phase	test
severity_focus	high

跨站脚本测试技能（XSS）

定位：面向真实业务系统的注入验证。核心难点不是找一个能弹 alert 的点，而是判断「用户输入最终落在哪个渲染上下文、该上下文的转义是否真实生效、能否在浏览器实际执行」——多数 XSS 误报源于没区分上下文就下结论。

触发条件

满足以下任一信号即应进入本技能：

• 参数值在响应中被原样或部分回显（侦察阶段 endpoints.json 已标注回显点）：搜索结果页回显关键词、个人资料页回显昵称/签名、错误页回显输入、列表页回显排序字段。
• 回显点位于不同上下文需分别评估：HTML 正文（<div>{name}</div>）、属性（<input value="{q}">）、JavaScript 字符串（var q = "{q}";）、CSS（background:url({x})）、URL（<a href="{u}">）——同一参数可能多上下文回显，每处单独评估。
• 用户输入持久化并在后续页面渲染：评论、笔记、工单、个人资料、消息——存储型 XSS 的影响半径远大于反射型，优先级更高。
• 客户端存在基于不可信输入的 DOM 操作：URL hash / location.search 被 innerHTML / document.write / eval / 模板引擎（Vue v-html、React dangerouslySetInnerHTML）消费。
• 富文本/Markdown 渲染器存在：WYSIWYG 编辑器（CKEditor/TinyMCE）、Markdown 转 HTML（marked/markdown-it）——这些组件的 sanitizer 配置错误是高发点。
• CSP 头存在但策略宽松：script-src 含 unsafe-inline / unsafe-eval / 大量 CDN 域名 / 通配符 ，或存在可被滥用上传 JS 的可信域（JSONP endpoint、CDN 资源）。