企业官网建设流程全解析

大家好，我是 Kali 与编程讲师老 K，B 站和网易云课堂讲师，专注 Kali 教学，致力于帮助小白轻松学会 Kali 与编程，接下来你将分清《反射型 XSSVS 存储型 XSS》

很多刚打开 Kali 打 Web 靶场的新手，碰到 XSS 漏洞就一头雾水，分不清反射型和存储型，写漏洞报告经常归类错误，两种漏洞利用方式、危害程度完全不一样，今天抛开晦涩专业术语，全部用日常上网场景类比，零基础也能快速吃透两者区别。

先讲反射型 XSS，核心特点是一次性、临时生效，不会保存到网站服务器，必须点击特制链接才能触发。咱们拿超市临时小票查询机器打比方，机器有个查询框，输入小票编号就能调取消费记录。正常输入数字只会显示订单，可如果有人编辑一段带恶意代码的查询链接发给你，你点开链接，机器会临时读取链接里的恶意内容，弹出弹窗、盗取当前页面信息。只要关掉页面、不点开这条链接，就不会有任何问题，这条恶意代码不会留在超市系统里，下次再进查询页面就恢复正常，这就是反射型 XSS。

放到网站场景最典型的就是搜索页面、跳转页面。比如网页搜索框，网址末尾会带上你输入的关键词，攻击者把恶意脚本塞进关键词位置生成链接，通过微信、QQ 发给别人，受害者点开链接，浏览器瞬间执行恶意代码，窃取当前页面 Cookie。整个过程恶意代码只临时随链接传递，网站后台数据库不会留存这条恶意内容，换个浏览器、不访问这条特制链接，漏洞就无法触发。它的攻击门槛很高，必须诱导目标主动点击特制 URL，单独访问网站首页不会中招。

再来说存储型 XSS，也叫持久型 XSS，恶意代码会永久保存在网站服务器，所有访问对应页面的人都会中招，危害远大于反射型。用小区业主群公告栏举例就能看懂，公告栏允许业主手写留言，正常大家只会写报修、闲置转让信息。如果有人偷偷在留言板写下一段恶意文字代码，物业不会清理，这条留言会一直贴在公告板上。之后每一个路过看公告的业主，都会自动触发这段恶意内容，泄露自己的个人信息，不用任何人单独发链接，只要查看公告就会受害，这就是存储型 XSS。

对应网站场景就是评论区、留言板、个人简介、发帖板块。比如论坛帖子评论区，攻击者在评论里写入恶意脚本，提交评论后，这段代码存入网站数据库。往后任何打开这条帖子、浏览评论的用户，浏览器都会自动执行脚本，批量窃取所有访客账号凭证，不用单独诱导点击链接，只要访问页面就会被攻击，波及范围极广。

给大家总结最简单的分辨方法，实操打靶一眼区分：恶意代码存在链接里，要点开链接才生效 = 反射型 XSS；恶意代码存入网站数据库，所有人访问页面都触发 = 存储型 XSS。

再举两个大家每天都会接触的上网实例巩固认知。反射型实例：某资讯网站搜索功能，构造带恶意代码的搜索链接发给好友，好友点开才会弹出盗取信息窗口，后台不会保存恶意内容。存储型实例：短视频平台评论区，攻击者发布带脚本的评论，后续所有刷到这条评论的用户全部中招，代码永久储存在平台服务器。

新手最容易踩坑的误区：觉得两种 XSS 危害相同，实际上存储型影响范围更广，漏洞评级更高。防护手段也各有侧重，反射型重点过滤 URL 参数输入，存储型要在用户提交内容时统一过滤、转义特殊字符，禁止恶意脚本存入数据库。

平时我们用 Kali 测试靶机、搭建本地 Web 环境练习时，先看恶意代码是否持久保存，就能快速划分 XSS 类型，不用死记硬背理论，生活化场景理解后实操不会混淆。

你打 XSS 靶场时有没有误把反射型当成存储型，导致漏洞提交审核失败的经历？欢迎留言分享！

关注我，每天学习 Kali 知识。

免责声明：本文仅网络安全教学使用，禁止非法测试各类线上网站平台。

点击下方链接，学习黑客入门《Kali与编程最全课》

哔哩哔哩_bilibili