前言

最近在做安全研究时，发现某存储科技公司官网存在一处反射型XSS漏洞。整个过程完整走通了信息收集、手工验证、源码分析和负责任披露流程。将过程脱敏后记录下来，供初学Web安全的同学参考。

一、信息收集

目标是一个存储科技公司的官方网站，前端为静态页面+搜索功能。浏览时发现搜索栏的URL里直接拼接了keyword参数，第一反应就是可能存在XSS注入点。

二、漏洞发现

在搜索框输入测试payload：

<script>alert(1)</script>

点击搜索后，页面成功弹出警告框，确认JavaScript代码被执行。

漏洞URL路径结构如下（已脱敏）：

ae5K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4N6%4N6Q4x3X3g2^5P5s2S2Q4x3X3g2U0L8$3#2Q4x3V1k6K6k6h3q4J5j5$3S2Q4x3V1k6D9K9i4y4@1i4K6y4r3K9$3g2&6N6$3!0J5k6q4)9K6c8q4)9J5y4X3I4@1i4K6y4n7M7$3y4J5K9i4m8@1i4K6t1$3k6%4c8Q4x3@1u0S2L8r3g2J5N6q4)9J5z5o6q4Q4x3U0W2Q4x3U0k6D9N6q4)9K6b7W2)9J5c8Y4y4U0M7X3W2H3N6q4)9J5y4X3N6@1i4K6y4n7

三、漏洞验证

查看页面源代码，确认搜索关键词被直接嵌入HTML中，且未进行任何HTML实体编码。这是导致反射型XSS的根本原因。

四、危害分析

1. Cookie窃取：攻击者构造恶意链接，诱导用户点击后窃取登录凭证

2. 钓鱼攻击：结合官网域名注入伪造登录框，极具迷惑性

3. 恶意重定向：重定向至恶意网站，用于挂马或传播恶意软件

五、修复建议

1. 输出编码：对用户输入做HTML实体编码（< 转 <，> 转 >）

2. 部署CSP：响应头添加 Content-Security-Policy 策略，限制内联脚本

3. 输入过滤：前后端同时对特殊字符做过滤，作为纵深防御

六、负责任披露

发现漏洞后，已通过官方渠道向该厂商发送漏洞报告，包含漏洞描述、复现步骤与修复建议。目前正在等待厂商反馈。

作为安全从业者，坚持在厂商确认修复前不公开任何可定位到具体目标的信息，是基本的职业操守。

关于我：

Web安全初学者，大专学历，熟悉OWASP Top 10的手工检测与验证。有护网防守模拟经验，能独立搭建靶场做漏洞复现。目前坐标杭州，正在寻找安全服务/安全运营方向的初级岗位。

如果有团队在招人，希望能有机会聊聊，简历可私信发。感谢！

传播安全知识、拓宽行业人脉——看雪讲师团队等你加入！