【网络安全】不要在 XSS 中使用 alert(1)

未经许可，不得转载。

引言

跨站脚本攻击（Cross-site scripting，简称 XSS）是一类安全漏洞，实质是在网站中注入恶意脚本代码，从而影响其他用户的正常使用。这类漏洞也是漏洞赏金计划中常见且可报告的安全问题之一。

通过注入包含 alert(1) 的 XSS 载荷，可以在载荷执行时弹出窗口，弹窗的出现即表明载荷已被执行。根据代码运行的位置，可能存在进一步注入恶意代码的潜在风险。

alert(1)

使用 alert(1) 作为 XSS 载荷的主要优势在于其高度的可视化特性。注入该代码后，可以直观地观察其执行时机，这在输入项较多的网页中尤为便捷。

而且通过更改 JavaScript alert() 函数的参数，可快速定位哪些位置的 XSS 注入成功。

使用 alert(1) 还有另一优势，即某些前端浏览器 JavaScript 框架的模板引擎允许使用受限形式的 JavaScript，例如打印作用域变量或进行简单数学运算。由于框架限制，攻击者无法真正注入