如何查找移动端HTML页面中的跨站漏洞-html教程-PHP中文网

dom型xss漏洞源于客户端javascript对location.hash、location.search等不可信源数据的无条件信任，直接通过innerhtml、document.write等危险sink点执行，绕过服务端防护。

如何查找移动端html页面中的跨站漏洞

移动端HTML页面中的跨站漏洞（尤其是DOM型XSS）不能靠服务端扫描器覆盖，必须从客户端数据流入手——因为很多漏洞根本不出现在HTTP响应体里，只在JS运行时动态拼接DOM时触发。

移动端页面大量依赖URL片段传参（比如微信内嵌页、PWA启动参数、APP WebView跳转），location.hash和location.search是最常见的污染源。它们不发往服务器，但前端JS常直接读取并写入DOM。

用DevTools的Console执行location.hash、location.search看是否返回可控字符串
全局搜索location\.hash、location\.search、location\.href，重点看后面是否跟了.replace()、.split(“#”)、URLSearchParams等解析逻辑
特别注意SPA路由（如Vue Router的hash模式、React Router v5）——useHash或hashHistory配置下，整个路由参数都可能被JS提取后拼进innerHTML

移动端为节省资源常省略框架，直接用原生JS操作DOM，innerHTML滥用极普遍。只要用户输入进了这些函数，基本就等于开了XSS后门。

搜索所有innerHTML =、outerHTML =、document\.write\(.+、insertAdjacentHTML\(.+，再逆向追溯赋值来源
注意“伪安全”写法：比如el.innerHTML = decodeURIComponent(hash)——解码后仍可能含<script></script>
警惕模板字符串拼接：div.innerHTML = `<p>${userInput}</p><div class="aritcle_card flexRow artxards"> <div class="artcardd flexRow"> <a class="aritcle_card_img" rel="nofollow" href="/xiazai/skill6712" title="Wechat HTML Publisher"><img src="https://img.php.cn/upload/skill/000/000/081/179109368394970.jpg" alt="Wechat HTML Publisher" onerror="this.onerror='';this.src='/static/lhimages/moren/morentu.png'" ></a> <div class="aritcle_card_info flexColumn"> <a rel="nofollow" href="/xiazai/skill6712" title="Wechat HTML Publisher" class="overflowclass">Wechat HTML Publisher</a> <p class="overflowclass">直接上传HTML富文本到微信公众号草稿箱。支持完整的HTML格式,无需Markdown转换。</p> </div> <a rel="nofollow" href="/xiazai/skill6712" title="Wechat HTML Publisher" class="aritcle_card_btn flexRow flexcenter"><b></b><span>下载</span> </a> </div> </div>`，ES6模板字面量不自动转义

安卓/iOS WebView默认允许JS执行，且常开放addJavascriptInterface或evaluateJavascript，一旦前端把URL参数透传给原生桥接方法，就可能绕过DOM限制触发更深层漏洞。

查JS中是否调用prompt()、confirm()、alert()——这些虽不直接XSS，但常是调试残留，暴露了参数未过滤逻辑
搜索javascript:伪协议，尤其在a[href]或iframe[src]里；移动端常用来触发原生功能，但若拼接了location.href就危险
检查postMessage监听器：WebView中网页与APP通信常用此方式，若event.data未经校验就写入DOM，就是典型DOM XSS

别等完整复现流程，先用最简方式确认漏洞存在性。移动端真机调试可用Chrome DevTools远程连接，或直接在Safari开发者工具中操作。

在地址栏末尾加#%3Cimg%20src=x%20onerror=alert(1)%3E（即#<img src="https://img.php.cn/?x-oss-process=image/resize,p_40" alt="如何查找移动端HTML页面中的跨站漏洞">），刷新后看是否弹窗
如果没反应，尝试?q=%3Cscript%3Ealert(1)%3C/script%3E，再检查页面中是否有document.getElementById("search-result").innerHTML = q类逻辑
对eval()、setTimeout()等动态执行函数，用setTimeout("alert(1)", 0)直接测试是否可执行字符串

真正难发现的是那些经过多层函数处理、带正则清洗但漏掉javascript:或data:协议的case，还有用textContent显示但旁边又另起一个innerHTML渲染富文本的混合场景——这时候得一行行跟JS调用栈，而不是只看表面赋值。