菜单
XSS 跨站脚本多上下文综合检测——分诊反射型 / 存储型 / DOM 型 / mXSS / Blind XSS，按 HTML 内容 / 属性 / JS / CSS / URL 上下文选择逃逸 payload。 流量中用户输入回显到响应 HTML / 前端 JS 读取 `location.*` 或 `document.referrer` 流入 DOM sink / 模板渲染未转义 / CSP 缺失或弱配置时使用。
用 Codex 或 Claude 帮你安装 复制这段 Prompt，粘贴到 Codex、Claude 或其他助手里，让它检查 Skill 页面并帮你完成安装。
白盒建模——一次深度建模产出五张共享模型：项目架构（技术栈/分层/框架自有封装/闭源依赖位置）、 入口点（路由/中间件信任边界）、认证与权限（会话/角色/多租户/归属字段）、业务（实体/流程状态机/ 业务不变量/高价值资产）、全局威胁（攻击面×漏洞类别的适用性映射，供下游逐一全测）。本能力不做漏洞判定，为后续 漏洞维度分析建立共享底图。
OS 命令注入综合检测——覆盖直接命令拼接 / shell 元字符 / 参数注入 / 间接 RCE，按回显 / 时间 / 带外通道分诊。 流量中参数值含主机名 / URL / 文件名 / 命令片段、响应里出现 shell 错误关键字（`/bin/sh` / `cmd.exe` / `command not found`）、注入 `sleep N` 耗时增加、上传后异步处理链路时使用。
文件上传多策略综合检测——覆盖扩展名 / MIME / 魔术数 / 解析漏洞 / 上传链组合（LFI / Zip Slip / SVG XSS / SVG XXE）。 流量含 multipart/form-data 上传、响应回显落盘路径、上传后文件可被 GET 解析、上传字段含 filename / path 可控时使用。
IDOR 水平越权检测 — 通过替换资源标识符（ID/UUID/路径）访问他人资源的风险；适用于用户资料、订单、文档、租户隔离场景。
检测路径穿越和本地文件包含（LFI）风险；当目标存在文件读取/下载/预览功能且含路径参数时触发；适用于文件下载、日志查看、模板加载等场景。
黑盒建模 — 迭代式攻击面建模，按站点级 / 页面级 / 功能级三粒度推进；进入新页面即触发一次页面级建模、切换新身份各刷新一次，产出端点账本与页面语义模型，为后续漏洞维度的适用性判断提供依据。
| name | xss-testing |
| description | XSS 跨站脚本多上下文综合检测——分诊反射型 / 存储型 / DOM 型 / mXSS / Blind XSS，按 HTML 内容 / 属性 / JS / CSS / URL 上下文选择逃逸 payload。 流量中用户输入回显到响应 HTML / 前端 JS 读取 `location.*` 或 `document.referrer` 流入 DOM sink / 模板渲染未转义 / CSP 缺失或弱配置时使用。 |
| when-to-use | 当用户输入回显在页面中、搜索结果含用户输入、错误消息反射用户输入（表单、搜索、评论、个人资料）时，黑盒验证反射/存储/DOM 型 XSS |
| allowed-tools | bash,read_file,list_files,rg |
| user-invocable | false |
以下是已知的 XSS 触发线索，作为基线起点而非必检硬清单。结合流量与响应特征动态调整：
[x] done[-] n/a (原因)（原因要具体到响应特征）[+] added (来源)响应特征命中信号（漏洞-specific）：
xss_probe_12345）在响应 HTML body 中以未转义形式出现< / > / " / ' 原样回显（未变成 < / > / " / '）<script>...</script> 块、on*= 事件属性、href= / src= 属性、style= 属性、<style> 块中var x = "..."），可用引号闭合Content-Security-Policy 缺失 / 含 unsafe-inline / unsafe-eval / 通配 * sourceinnerHTML / outerHTML / document.write / eval / setTimeout(str) / Function(str) 等 DOM sink，且读取 location.hash / location.search / document.referrer / postMessage.data入口类型粗筛（仅作类似场景示例 不限于此）：
next / target / return_url 参数回显）innerHTML = msg.body 形态）业务命名只作粗筛——sink 语义相同就属此范围。JSON body 任一字段、header / cookie 任一字段、URL fragment、postMessage data 等都是 XSS 候选，不限于"看起来像富文本"的字段名；具体参数位置由 HAR + 前端 DOM 实际渲染推导，不在此预设清单。
source 是任何用户可控输入（query / body / header / cookie / 路径参数 / URL fragment / 已入库再回读的字段 / 跨窗口 postMessage / WebSocket 推送）。sink 是 HTML 渲染上下文：<body> HTML 内容、HTML 属性值（含 on* 事件 / href / src / style）、<script> 块内 JS 字符串字面量、<style> 块内 CSS 字符串、URL 协议位置（href="..." / src="..." / window.location）、以及前端 DOM 写入 sink（innerHTML / outerHTML / document.write / insertAdjacentHTML / eval / setTimeout(str) / setInterval(str) / Function(str) / jQuery .html()）。
任何 source 未经"上下文匹配的编码"即输出到 sink，即构成 XSS——攻击者控制的字符串改变了浏览器的解析模式（HTML 解析器、JS 解析器、CSS 解析器、URL 解析器之一）。模板引擎的"自动 HTML 转义"只对默认 HTML 内容上下文生效，属性 / JS / CSS / URL 上下文需要专用编码；任何"显式标记可信"通道（Go template.HTML(...) / template.JS(...) / Vue v-html / React dangerouslySetInnerHTML / Angular bypassSecurityTrust*）都绕过自动转义。
CSP 不是免疫层：unsafe-inline / unsafe-eval / 反射型 nonce 重复使用 / 通配 source（* / data: / blob: 不受限）/ 旧版 script-src 缺 default-src 兜底，都让 CSP 形同虚设。DOM XSS 还可能绕过纯服务端 CSP（如基于现有 trusted script 的 gadget 利用）。
列出 XSS 黑盒可观测的响应通道集合（observation-channel）——执行上下文 / 渲染槽位 / 侧信道形态。输入位置（query / body / header / cookie / path / fragment / postMessage / WebSocket / second-order 等）从 HAR + 前端 DOM 实际推导，本节不预设清单。
响应观察通道集合（observation-channel）：
html-body-render：探针原样出现在 HTML body（标签内容上下文），< / > 未转义attribute-context：探针出现在属性值（含单引号 / 双引号 / 无引号三种子上下文）js-string-literal：探针出现在 <script> 块内 JS 字符串字面量（双引号 / 单引号 / 反引号）js-non-string：探针直接进入 JS 表达式位置（如 var x = {{ raw }}）css-context：探针出现在 <style> 块或 style="" 属性url-context：探针进入 href / src / action / formaction / window.location.* 等 URL 槽位dom-sink-write：前端 JS 把 source 写入 innerHTML / document.write / eval 类 sink（DOM XSS 主通道）mutation-mxss：探针经 sanitizer 处理后进入 DOM，但浏览器 innerHTML 序列化-再解析造成属性 / 标签突变oob-blind：纯存储 / Blind 场景下，payload 在管理后台 / 客服面板 / 报表页执行，通过带外回连（DNS / HTTP / cookie 外泄）证明csp-bypass-observation：CSP 响应头允许 inline / unsafe-eval / 通配 source / 反射型 nonce，执行通道仍开放| 类型 | 触发条件 | 响应特征 | 观察通道 |
|---|---|---|---|
| 反射型 XSS（Reflected） | 单次请求参数即时回显并执行 | 同请求响应里 source 未编码出现在执行上下文 | html-body-render / attribute-context / js-string-literal |
| 存储型 XSS（Stored） | source 先入库，回读时渲染并执行 | 写入端点不报错，回读端点页面执行脚本 | html-body-render + secondary-readback |
| DOM 型 XSS（DOM-based） | 前端 JS 把客户端 source 写入 DOM sink | 服务端响应不变，浏览器 DOM 中 payload 生效 | dom-sink-write（location.hash / postMessage / referrer → innerHTML / eval） |
| mXSS（Mutation XSS） | DOMPurify / sanitizer 处理后 innerHTML 再解析造成结构变异 | 输入"安全 HTML" 经 innerHTML 序列化-再解析后变成可执行结构 | mutation-mxss |
| Blind XSS | payload 在攻击者不可见后台执行（客服 / 管理 / 日志查看页） | 写入端点无回显，带外回连显示在另一面板触发 | oob-blind |
| Self / 突变 XSS via CSP gadget | CSP 阻止直接 inline 但允许已加载的脚本 gadget | 利用现有 JS 库的 sink（jQuery $() / AngularJS ng-app 模板）触发 | csp-bypass-observation |
| Universal / 跨上下文 XSS | 属性 / JS / URL 多上下文同时回显，逃逸路径多选 | 同一 source 在多个 sink 出现 | 多通道叠加 |
按以下方式从侦察输出中筛 XSS 候选：
从 HAR / 端点账本：
q / search / keyword / name / title / content / body / comment / bio / description / next / return / redirect / utm_* / lang / theme/search / /comment / /post / /article / /profile / /error / /login（含错误回显）Content-Type: text/html 且响应体出现请求中的字符串原样片段Content-Security-Policy / 含 unsafe-inlineinnerHTML / document.write / eval / location.hash / postMessage 关键字从业务场景（由页面级建模输出，见 {page}-page-model.md 语义节）：
下列业务场景仅作类似场景示例 不限于此；以页面级模型实际输出为准。
innerHTML 形态）从身份切换 HAR 对比：
业务命名（如 "comment" / "bio"）只作粗筛——sink 语义相同就是候选，JSON body 任一字段都是 XSS 候选，不限于"看起来像富文本"的字段名。
通过响应（错误关键字 / header / 行为）推断后端模板引擎 / 前端框架 / 净化库 / WAF / CSP 策略，优化 payload 选择。
| 响应特征 | 推断引擎 | payload 选择 |
|---|---|---|
响应头 X-Powered-By: Express / Set-Cookie: connect.sid + EJS / Pug 错误 | Node EJS / Pug / Handlebars | 自动转义按引擎不同；{{{...}}} 三花括号是 Handlebars 不转义形态 |
Server: nginx + JSESSIONID cookie + Thymeleaf / FreeMarker / Velocity 报错关键字 | Java Spring（Thymeleaf / FreeMarker / Velocity / JSP） | th:utext / <#noescape> / $!{...} 是不转义通道 |
Set-Cookie: PHPSESSID + Twig / Blade / Smarty 报错 | PHP（Twig / Blade / Smarty / 原生 echo） | Blade {!! !!} / Twig |raw / 原生 echo 直渲 |
Server: gunicorn / Werkzeug traceback + Jinja2 关键字 | Python Django / Flask（Jinja2 / DTL） | |safe / {% autoescape off %} / mark_safe() 是不转义通道 |
Go 默认响应头不带框架，但响应里出现 template: 关键字报错 | Go html/template / text/template | template.HTML(...) / template.JS(...) / template.HTMLAttr(...) 显式标记可信；text/template 无自动转义 |
响应里出现 Razor / @Html.Raw / X-Aspnet-Version | ASP.NET Razor | @Html.Raw(...) 不转义；@: 文本块 |
| 响应特征 | 推断框架 | DOM 风险点 |
|---|---|---|
HTML 含 <div id="app"> + 引用 vue.js / vue.runtime.js | Vue | v-html 直渲；v-bind 到 :href / :src 时协议未限制 |
HTML 含 <div id="root"> + react 标记 / __NEXT_DATA__ | React / Next.js | dangerouslySetInnerHTML={{__html: x}}；href={x} 接受 javascript: |
HTML 含 ng-app / ng-controller / [(ngModel)] | AngularJS / Angular | AngularJS {{...}} 模板沙箱可逃逸（旧版）；Angular bypassSecurityTrustHtml |
<script src="*.svelte.js"> / svelte 编译产物特征 | Svelte | {@html ...} 不转义 |
引用 jQuery 且页面有 $('#x').html(...) 形态 | jQuery | .html() / .append(str) / $.parseHTML 直接 sink |
| 响应特征 | 推断库 | 绕过方向 |
|---|---|---|
用户输入富文本被部分过滤但保留 <a> / <img> / <svg> | bluemonday / DOMPurify / sanitize-html | mXSS 突变 / 属性注入 / SVG payload / 标签嵌套混淆 |
<script> 被剥离但 on*= 属性保留 | 简易黑名单 sanitizer | <img onerror> / <svg onload> / <details ontoggle> |
已编码 < 为 < 但属性内引号未编码 | 编码不完整（仅 HTML 内容编码） | 属性闭合：" onfocus="alert(1) |
| 响应头特征 | CSP 强度 | 利用方向 |
|---|---|---|
无 Content-Security-Policy 头 | 无 CSP | 任意 inline / 外链 script，反射型直接生效 |
default-src 'self'; script-src 'self' 'unsafe-inline' | 弱 CSP | inline script 可执行，反射型直接生效 |
script-src 'self'（无 unsafe-inline） | 中等 CSP | 寻找已加载 JS 的 gadget；JSONP 端点利用；DOM sink 利用 |
script-src 'nonce-<random>' 且 nonce 每次刷新变化 | 强 CSP | 仅 DOM 型可能（CSP 不阻止已在白名单 script 执行 sink） |
script-src 'strict-dynamic' + nonce | 最强 CSP | 极难绕过，仍需检查 trusted script 是否安全 |
| 响应特征 | WAF | 绕过方向 |
|---|---|---|
cf-ray header + Attention Required 拦截页 | Cloudflare | HTML 实体编码 / Unicode 转义 / 大小写混用 / 拆分关键字 |
request blocked + 阿里云 LOGO | 阿里云 WAF | URL 编码 / Base64 / 嵌入式注释 / svg / data: URL |
imunify360 / incapsula / akamai 拦截特征 | 商业 WAF | 同上 + tag mutation |
响应指纹仅作辅助判断——真实的 sink 验证仍需在 §9 闭环要求章节定义的"浏览器实际执行"可观测效果证据。
加载本 skill 时按这些问题思考：
< > 编码但 " 未编码 → 属性闭合可行；HTML 编码但 JS 字符串内 → 引号闭合可行template.HTML(...) / v-html / dangerouslySetInnerHTML / \|raw / \|safe 类显式可信通道？unsafe-inline 有吗？nonce 是否真随机？有没有 JSONP / 内联 script 的 gadget？location.hash / location.search / document.referrer / postMessage 读取后写入 innerHTML / eval？<b> / 控制台 console.log 标记），确认上下文后再升级到 alert / 带外回连innerHTML / document.write / eval / location.* / postMessage 关键字位置xPrObE9k2）的请求，覆盖所有候选参数位置grep 标记，定位每个出现点的上下文：
<div>xPrObE9k2</div>）<input value="xPrObE9k2"> / <input value='...'> / <input value=...> 无引号）<script> 块内 JS 字符串（var x = "xPrObE9k2" / '...' / `...`）<script> 块内 JS 非字符串位置（直接表达式 var x = xPrObE9k2）<style> 块 / style="" 属性href="..." / src="..." / location.href = "..."）< > " ' & 是否被转义；记入"上下文 + 编码画像"| 上下文 | 探测 payload | 成功标志 |
|---|---|---|
| HTML 标签内容 | <b>xss</b> → <svg onload=console.log(1)> | DOM 出现 <b> 节点 / 控制台输出 |
| HTML 属性（双引号） | " autofocus onfocus="console.log(1) | 属性被闭合 → 新事件挂载 |
| HTML 属性（单引号） | ' autofocus onfocus='console.log(1) | 同上 |
| HTML 属性（无引号） | autofocus onfocus=console.log(1) | 空格分隔生效 |
| JS 字符串（双引号） | ";console.log(1);// | JS 执行 |
| JS 字符串（单引号） | ';console.log(1);// | 同上 |
| JS 模板字面量 | ${console.log(1)} | 反引号内表达式生效 |
| URL 槽位（href / src） | javascript:console.log(1) | 协议触发 |
| CSS 上下文 | </style><svg onload=...> 或 expression(...) (旧 IE) | 标签逃逸 |
| DOM sink（location.hash） | #<img src=x onerror=console.log(1)> | 前端写入 DOM |
输出：候选逃逸集合（quote_type + escape_needed + tag_allowed + event_allowed）。
按 §6 指纹表识别后端引擎 / 前端框架 / 净化库 / CSP 强度。结论标注置信度（high / medium / low）。
探针未转义出现在 HTML 内容上下文 + 无 CSP / unsafe-inline → 反射型直接 <script> / <svg onload>
探针在属性上下文 + 引号未编码 → 属性闭合 + 事件处理器（onfocus / onerror / onmouseover）
探针在 JS 字符串字面量 + 引号未编码 → 字符串闭合 + 表达式注入
探针在 URL 槽位 → javascript: 协议（注意 CSP）
源是 location.hash / postMessage → DOM 型；服务端响应不变也算
写入端点入库但当前响应无回显 → 找回读端点 → 新会话访问验证 → 若回读端点在客服 / 管理面板走 Blind XSS（带外）
CSP 强（nonce / strict-dynamic） → 寻找 gadget；DOM 型仍可能
净化库存在（DOMPurify / bluemonday） → 试 mXSS（嵌套 svg / template / noscript / 注释突变）
< > " ' &）且属性 / JS / CSS / URL 上下文均未发现 source——not_vulnerableonerror）/ Unicode 转义（alert）/ 大小写混用 / 拆分 / 注释插入onfocus=alert(1)）/ 反引号模板字面量 / String.fromCharCode(...) / eval(atob('...'))<svg> / <math> / <details> / <iframe srcdoc> / 自定义元素 <x-x onload>onpointerrawupdate / onanimationend / onfocusin / ontoggle）/ 自定义事件 + dispatchEvent%3C）/ 双重编码（%253C）/ Unicode (<)/ HTML 实体（数字 / 命名 / 短形式）unsafe-inline 缺失但有白名单 host → 找 JSONP / 可上传脚本的同源 / 站内 base href 接管闭环判定（confirmed / suspected / not_vulnerable）以
common/closure-verification.md为准。下面只列本漏洞特有的可观测信号。
confirmed（必须挂浏览器实际执行证据）：
innerHTML 序列化-再解析后产生新执行节点，可截图suspected（落 status=needs_review）：
not_vulnerable（落 status=not_vulnerable）：
strict-dynamic + nonce）且无可用 gadget，且 DOM 型路径同样不可达禁止仅凭"特殊字符未过滤" / "响应中看到 < 未编码" / "CSP 缺失" / "payload 在响应里出现" 判 confirmed——这些只到 suspected，必须确认浏览器实际执行。
why：反例义务属于交付契约——"该子系统无 XSS"或"已防护"结论是覆盖完整性的产物声明，缺失反向验证清单会让下游误信"该维度全站安全"。XSS 上下文众多，仅测富文本 / 评论无法支撑 site-wide 安全声明。
写"未发现 XSS"或"已防护"前，产物必须包含：
template.HTML(...) / v-html / dangerouslySetInnerHTML 等全部触发线索）清单不完整 → 结论降级为 partial-coverage 并显式声明未覆盖范围。
反例 1：响应里看到未编码的 < 但实际不在执行上下文
<xPrObE> 出现在 <!-- xPrObE --> HTML 注释里、<textarea>xPrObE</textarea> 里、<title>xPrObE</title> 里--> / </textarea> / </title>）逃逸，看是否真能跳出包裹反例 2：响应里 <script> 标签被剥离但属性仍可注入
<script> 拦截不等于全面防御<script>alert(1)</script> 被剥成空，但 <img src=x onerror=alert(1)> 仍生效<script> / <iframe>，不覆盖事件属性 / svg / 自定义元素反例 3：本地有 CSP default-src 'self' 但反射型仍 confirmed
'self' 但站内有可被攻击者控制返回内容的同源资源反例 4：业务命名非"富文本" / "评论" 跳过测试
body_html / 商品详情 description / 工单 content / Bio intro / utm 参数 / next 跳转参数，凡回显到 HTML 上下文都是候选反例 5：跨子系统隐式推广（漏报高发模式）
template.HTML(userInput) 显式可信包装template.HTML( / v-html= / dangerouslySetInnerHTML 形态反例 6：DOM 型被忽略（服务端响应不变）
/page#<img src=x onerror=...> 的 hash 被前端 document.getElementById('x').innerHTML = location.hash.slice(1) 写入location.* / document.referrer / postMessage 后写 DOM sink反例 7：mXSS 被 sanitizer "看似安全"的 HTML 漏掉
innerHTML 可能产生突变<noscript><p title="</noscript><img src=x onerror=...>"> 类嵌套，再被 innerHTML 二次解析时结构改变innerHTML 二次写入innerHTML / outerHTML 路径；查 DOMPurify / bluemonday 已知 mXSS CVE 是否适用反例 8：HttpOnly cookie 让 XSS 看似无害
HttpOnly 属性存在反例 9：自反射 XSS（Self-XSS）危害评估
破坏性 / 不可逆动作的闭环边界以
common/closure-verification.md《破坏性 / 不可逆动作的闭环边界》节为准。下面只列 XSS 特有的破坏点。
禁止对真实业务数据 / 真实用户执行以下动作来"挂可观测效果"：
alert / 弹窗 / 跳转类 payload——会影响真实用户体验window.open / location.href / 大流量带外回连的 payload（会被真实访问者触发并消耗资源）允许的非破坏验证手段：
sastx_sentinel_），仅对哨兵执行 XSS 写入与回读验证；测试结束删除console.log("sentinel_<token>") / document.title = "sentinel_<token>" / <img src=x> 仅触发请求不弹窗report-uri / report-to 触发的违规报告作为辅助证据（仅 suspected → confirmed 桥接信号，不单独构成 confirmed）< > & " '）\x3c / <），避免 </script> 拼接data-x="..." 再前端读取\3c 形式）+ 限制为白名单字符javascript: / data: / vbscript: 协议html/template（不是 text/template）、Jinja2 默认 autoescape、Twig 默认转义；显式不转义通道（template.HTML(...) / \|safe / v-html / dangerouslySetInnerHTML / {!! !!} / \|raw / bypassSecurityTrust*）必须经过严格审计并 inline 注释审计依据innerHTML / outerHTML / document.write / eval / setTimeout(string) / Function(string)；改用 textContent / setAttribute / DOMPurify 净化后再写入unsafe-inline / unsafe-eval；使用 nonce 或 hash 白名单；strict-dynamic 是当前推荐形态Content-Security-Policy: require-trusted-types-for 'script'，从浏览器层限制 DOM sink<script / onerror / javascript:）——仅作辅助，不替代输出编码HttpOnly + Secure + SameSite=Strict/Lax