大家好我是 Kali 与编程讲师老 KB 站和网易云课堂讲师专注 Kali 教学致力于帮助小白轻松学会 Kali 与编程接下来你将分清《反射型 XSSVS 存储型 XSS》很多刚打开 Kali 打 Web 靶场的新手碰到 XSS 漏洞就一头雾水分不清反射型和存储型写漏洞报告经常归类错误两种漏洞利用方式、危害程度完全不一样今天抛开晦涩专业术语全部用日常上网场景类比零基础也能快速吃透两者区别。先讲反射型 XSS核心特点是一次性、临时生效不会保存到网站服务器必须点击特制链接才能触发。咱们拿超市临时小票查询机器打比方机器有个查询框输入小票编号就能调取消费记录。正常输入数字只会显示订单可如果有人编辑一段带恶意代码的查询链接发给你你点开链接机器会临时读取链接里的恶意内容弹出弹窗、盗取当前页面信息。只要关掉页面、不点开这条链接就不会有任何问题这条恶意代码不会留在超市系统里下次再进查询页面就恢复正常这就是反射型 XSS。放到网站场景最典型的就是搜索页面、跳转页面。比如网页搜索框网址末尾会带上你输入的关键词攻击者把恶意脚本塞进关键词位置生成链接通过微信、QQ 发给别人受害者点开链接浏览器瞬间执行恶意代码窃取当前页面 Cookie。整个过程恶意代码只临时随链接传递网站后台数据库不会留存这条恶意内容换个浏览器、不访问这条特制链接漏洞就无法触发。它的攻击门槛很高必须诱导目标主动点击特制 URL单独访问网站首页不会中招。再来说存储型 XSS也叫持久型 XSS恶意代码会永久保存在网站服务器所有访问对应页面的人都会中招危害远大于反射型。用小区业主群公告栏举例就能看懂公告栏允许业主手写留言正常大家只会写报修、闲置转让信息。如果有人偷偷在留言板写下一段恶意文字代码物业不会清理这条留言会一直贴在公告板上。之后每一个路过看公告的业主都会自动触发这段恶意内容泄露自己的个人信息不用任何人单独发链接只要查看公告就会受害这就是存储型 XSS。对应网站场景就是评论区、留言板、个人简介、发帖板块。比如论坛帖子评论区攻击者在评论里写入恶意脚本提交评论后这段代码存入网站数据库。往后任何打开这条帖子、浏览评论的用户浏览器都会自动执行脚本批量窃取所有访客账号凭证不用单独诱导点击链接只要访问页面就会被攻击波及范围极广。给大家总结最简单的分辨方法实操打靶一眼区分恶意代码存在链接里要点开链接才生效 反射型 XSS恶意代码存入网站数据库所有人访问页面都触发 存储型 XSS。再举两个大家每天都会接触的上网实例巩固认知。反射型实例某资讯网站搜索功能构造带恶意代码的搜索链接发给好友好友点开才会弹出盗取信息窗口后台不会保存恶意内容。存储型实例短视频平台评论区攻击者发布带脚本的评论后续所有刷到这条评论的用户全部中招代码永久储存在平台服务器。新手最容易踩坑的误区觉得两种 XSS 危害相同实际上存储型影响范围更广漏洞评级更高。防护手段也各有侧重反射型重点过滤 URL 参数输入存储型要在用户提交内容时统一过滤、转义特殊字符禁止恶意脚本存入数据库。平时我们用 Kali 测试靶机、搭建本地 Web 环境练习时先看恶意代码是否持久保存就能快速划分 XSS 类型不用死记硬背理论生活化场景理解后实操不会混淆。你打 XSS 靶场时有没有误把反射型当成存储型导致漏洞提交审核失败的经历欢迎留言分享关注我每天学习 Kali 知识。免责声明本文仅网络安全教学使用禁止非法测试各类线上网站平台。点击下方链接学习黑客入门《Kali与编程最全课》哔哩哔哩_bilibili