反射型 XSS Reflected Cross-Site Scripting

什么是反射型 XSS？

反射型 XSS 是最常见的 XSS 类型。攻击者的 payload 包含在 URL 参数中，服务器将其直接反射回 HTML 响应，浏览器将 payload 当作 JavaScript 执行。

攻击流程

漏洞代码分析

以下是典型的反射型 XSS 漏洞代码。注意 $_GET['search'] 的值被直接拼接到 HTML 输出中：

<?php
// 获取 URL 参数
$search = $_GET['search'];

// 危险：直接输出，无过滤/转义
echo "搜索结果: " . $search;
//                    ↑ 用户输入直接拼接到 HTML
?>

当用户访问 ?search=hello 时，页面显示「搜索结果: hello」。但当用户访问 ?search=<script>alert(1)</script> 时，浏览器会将 <script> 标签解析为可执行的 JavaScript。

Source/Sink 模型

理解 XSS 的关键在于 Source/Sink 模型：

当 Source 未经过滤直接到达 Sink，就产生了 XSS。

危害