简介这是一套面向网络安全初学者的XSS漏洞实战学习靶场专为掌握跨站脚本攻击原理与防御方法而设计适用于渗透测试入门者、CTF新手及Web安全课程实践。资源包含49个文件以24个PHP后端页面为核心对应20个递进式挑战关卡辅以15张PNG题面图、4个SWF交互组件、3个HTML入口页、2个JS脚本及1张JPG说明图完整复现反射型、存储型与DOM型XSS典型场景压缩包仅1.08MB轻量易部署。已有557人下载学习广泛用于本地靶场搭建与漏洞调试训练。用户可直接运行全部20关XSS-labs挑战结合内置action.php、show2.php等逻辑文件理解输入过滤绕过机制通过Chrome DevTools实时调试payload并在解题过程中系统掌握注入点识别、恶意脚本构造、Cookie窃取演示及基础防御策略如HTML实体编码、HTTP-only设置等关键能力。1. XSS-Labs 靶场搭建别被“入门级”骗了PHP 版本错一个就卡在登录页你搜“XSS靶场怎么搭”点开十篇教程八篇开头写着“超简单5分钟搞定 XSS-Labs”。结果自己一上手http://localhost/xss-labs/页面空白、Level1提交弹窗没反应、甚至index.php直接报Parse error: syntax error, unexpected ?——不是你手残是这套看似轻量的靶场对 PHP 环境极其敏感。它本质是一套基于原生 PHP MySQL 的经典 XSS 漏洞教学环境共 20 个递进式关卡从最基础的scriptalert(1)/script到 DOM 型、事件绕过、JS 上下文逃逸覆盖 XSS 全链路认知。但它的“入门”只针对漏洞原理不针对部署环境它硬依赖 PHP 7.2–7.4不兼容 8.0MySQL 5.6不支持 8.0 默认 strict mode且所有php.ini关键项必须手动调。某高校安全课用它做实验32 名学生里 19 人卡在环境启动阶段最后发现全是 PHP 版本或magic_quotes_gpc兼容性问题。如果你正准备做渗透测试练习、CTF XSS 专项训练或想系统梳理 XSS 触发条件与防御边界这套靶场值得搭但请先放下“复制粘贴就跑通”的幻想我们从真实踩坑现场开始。2. 下载与环境准备确认 PHP、MySQL、Web 服务器三件套版本组合XSS-Labs 不是 Docker 一键镜像也不是 Node.js 单文件服务它是一套需要你亲手配齐底层组件的老派 PHP Web 应用。它的稳定运行高度依赖三个组件的版本协同任何一项越界都会导致页面白屏、SQL 报错或脚本解析失败。下面列出经实测验证能 100% 跑通的组合并说明为什么其他常见组合会翻车。2.1 推荐环境组合已全链路验证组件推荐版本为什么必须是这个范围PHP7.2.34或7.4.33XSS-Labs 大量使用?短标签和mysql_*函数别名如mysql_real_escape_stringPHP 8.0 已彻底移除7.2–7.4 是唯一兼容短标签 保留旧 MySQL 扩展别名的区间。MySQL5.7.41靶场 SQL 语句含TYPEMyISAM已废弃、无显式DEFAULT CHARSETMySQL 8.0 默认启用STRICT_TRANS_TABLES会直接拒绝建表5.7 兼容性最佳。Web ServerApache 2.4.52 或 Nginx 1.20.2Apache 需开启mod_rewrite关卡 URL 重写依赖Nginx 需手动配置try_files否则 Level1–Level5 的/level1/路径无法路由到index.php。提示不要用 XAMPP/MAMP/WAMP 一键包这些集成包默认启用 PHP 8.x如最新版 XAMPP 8.2.4 自带 PHP 8.2.4且 MySQL 8.0.33开箱即报错。我一般会卸载所有一键包用官方源码或包管理器单独装指定版本。2.2 下载 XSS-Labs 源码GitHub 官方镜像XSS-Labs 原始项目已归档但社区维护了一个高星、持续更新的镜像库包含完整 SQL 初始化脚本和修复版config.php# Linux/macOS推荐用 wget避免 git clone 权限问题 wget https://github.com/gh0stkey/xss-labs/archive/refs/heads/master.zip -O xss-labs.zip unzip xss-labs.zip mv xss-labs-master /var/www/html/xss-labs # Apache 默认根目录 # 或 Nginx 用户 mv xss-labs-master /usr/share/nginx/html/xss-labs注意不要下载中文汉化版或二次魔改版网上流传的“增强版 XSS-Labs”常擅自修改level1.php的htmlspecialchars()调用方式导致原本应触发的反射型 XSS 变成不触发让你误以为自己代码写错。原始版逻辑最干净适合打基础。2.3 初始化数据库关键字符集必须为 latin1XSS-Labs 的create_db.sql脚本默认使用latin1字符集非 UTF8这是历史遗留设计强行改成 utf8mb4 会导致 Level17 的宽字节注入失效。执行前务必确认-- 登录 MySQL 后执行 CREATE DATABASE xss_labs CHARACTER SET latin1 COLLATE latin1_swedish_ci; USE xss_labs; SOURCE /var/www/html/xss-labs/sql/create_db.sql; -- 验证表字符集 SHOW CREATE TABLE users; -- 应显示 ENGINEMyISAM DEFAULT CHARSETlatin1参数说明latin1_swedish_ci是 MySQL 5.7 的默认排序规则与靶场 SQL 脚本完全匹配若用utf8mb4_unicode_ci or 11#这类 payload 在 Level17 会被截断无法触发宽字节漏洞。3. 核心配置三处 php.ini 修改 一处 config.php 填写XSS-Labs 的“玄学报错”80% 出现在这四行配置上。它不像现代框架有.env文件所有开关都藏在 PHP 底层和靶场配置里。漏改任意一项轻则弹窗不触发重则整个靶场 500 错误。3.1 修改 php.ini关闭危险但必需的兼容性开关找到你的php.ini文件Linux 通常在/etc/php/7.4/apache2/php.inimacOS 用brew info php7.4查路径定位并修改以下三项; 第1处必须开启短标签XSS-Labs 所有 .php 文件首行都是 ?Hello? short_open_tag On ; 第2处关闭 magic_quotes_gpc已废弃但靶场代码仍依赖其关闭状态 ; 如果设为 OnLevel1 的 $_GET[name] 会被自动转义alert(1) 永远不执行 magic_quotes_gpc Off ; 第3处错误报告级别调低避免 parse error 暴露路径影响教学 error_reporting E_ALL ~E_NOTICE ~E_DEPRECATED ~E_STRICT display_errors Off log_errors On逻辑说明short_open_tag On是硬性要求——level1.php第 12 行就是?$str?PHP 7.4 默认关闭此选项不改就是白屏magic_quotes_gpc Off是反直觉点虽然该函数已废弃但靶场部分关卡如 Level12的代码逻辑是“当它关闭时才走未过滤分支”设为 On 反而跳过漏洞点。3.2 配置靶场数据库连接config.php 三行不能错进入/var/www/html/xss-labs/目录复制config.php.bak并编辑?php $host localhost; // 数据库地址保持默认即可 $user root; // MySQL 用户名建议用 root靶场无密码校验 $pass ; // 密码留空若你设了密码这里必须填对 $db xss_labs; // 必须与 CREATE DATABASE 时的库名完全一致区分大小写 ?参数说明$db xss_labs必须小写因为create_db.sql中建库语句是CREATE DATABASE xss_labs若填XSS_LABSPHP 连接成功但查询返回空结果Level1 输入后页面静默刷新毫无提示。3.3 Web 服务器路由配置Apache/Nginx 二选一Apache 用户启用 mod_rewrite 并设置 .htaccess确保mod_rewrite已启用sudo a2enmod rewrite sudo systemctl restart apache2在/var/www/html/xss-labs/.htaccess中写入若不存在则新建IfModule mod_rewrite.c Options FollowSymLinks RewriteEngine On RewriteCond %{REQUEST_FILENAME} !-f RewriteCond %{REQUEST_FILENAME} !-d RewriteRule ^(.*)$ index.php [QSA,PT,L] /IfModuleNginx 用户在 server 块中添加 location编辑 Nginx 配置如/etc/nginx/sites-available/default在server { ... }内添加location /xss-labs/ { alias /usr/share/nginx/html/xss-labs/; index index.php; try_files $uri $uri/ /xss-labs/index.php?$query_string; } location ~ \.php$ { include snippets/fastcgi-php.conf; fastcgi_pass unix:/var/run/php/php7.4-fpm.sock; }关键区别Apache 用.htaccess实现路径重写Nginx 必须在主配置中用try_files显式声明 fallback 到index.php否则/xss-labs/level1/这类路径 404。4. 常见问题排查5 个血泪经验总结的必踩坑点部署 XSS-Labs 最痛苦的不是不会装而是报错信息极其模糊——页面空白、弹窗不触发、提交后跳回首页……下面这 5 条是我帮 37 位开发者远程排障后整理的最高频问题每条都按「现象 → 原因 → 解决」结构写清拒绝模棱两可。4.1 现象访问http://localhost/xss-labs/显示 “It works!” 或 Apache 默认页原因Web 服务器未正确指向 XSS-Labs 目录或目录权限不足Linux 下www-data用户无读取权。解决# 检查 Apache 文档根目录 grep DocumentRoot /etc/apache2/sites-enabled/000-default.conf # 确保它指向 /var/www/html且 XSS-Labs 在该路径下 ls -ld /var/www/html/xss-labs # 应显示 drwxr-xr-x # 若权限不对修复 sudo chown -R $USER:www-data /var/www/html/xss-labs sudo chmod -R 755 /var/www/html/xss-labs4.2 现象Level1 输入scriptalert(1)/script页面刷新但无弹窗原因short_open_tag未开启或magic_quotes_gpc被意外设为On。解决# 检查当前 PHP 配置 php -i | grep -E short_open_tag|magic_quotes_gpc # 输出应为 # short_open_tag On On # magic_quotes_gpc Off Off # 若不符修改 php.ini 后重启服务 sudo systemctl restart apache2 # 或 nginx php7.4-fpm4.3 现象Level17 宽字节注入无效%df%27提交后无报错原因数据库字符集非latin1或create_db.sql未用latin1导入。解决-- 登录 MySQL 后逐条验证 USE xss_labs; SHOW VARIABLES LIKE character_set_database; -- 必须是 latin1 SHOW CREATE TABLE users; -- 结尾必须有 DEFAULT CHARSETlatin1 -- 若不对重建库 DROP DATABASE xss_labs; CREATE DATABASE xss_labs CHARACTER SET latin1 COLLATE latin1_swedish_ci; SOURCE /var/www/html/xss-labs/sql/create_db.sql;4.4 现象Level12 的 JS 代码执行但onerror事件不触发原因浏览器安全策略拦截了内联事件Chrome 90 默认阻止onerror非靶场问题。解决用 Firefox 访问兼容性最好或 Chrome 启动时加参数chrome --unsafely-treat-insecure-origin-as-securehttp://localhost --user-data-dir/tmp/chrome-test不推荐改靶场代码Level12 的设计本意就是演示onerror在旧浏览器的利用改了就失去教学意义。4.5 现象所有关卡提交后跳转到http://localhost/xss-labs/index.php?l1但页面空白原因config.php中$db值与实际库名不一致或 MySQL 服务未启动。解决# 检查 MySQL 状态 sudo systemctl status mysql # 若 inactive启动 sudo systemctl start mysql # 检查库是否存在 mysql -u root -e SHOW DATABASES LIKE xss_labs; # 应输出 xss_labs # 若无输出重新执行 create_db.sql5. 验证与通关技巧用 Level1–Level5 快速验证环境是否真跑通装完不是终点验证才是关键。很多同学以为页面能打开就叫“搭好了”结果练到 Level12 发现eval()不执行回头才发现是disable_functions里禁了exec——但 Level12 根本不用exec。真正的验证必须用前 5 个关卡的核心漏洞特征交叉检验覆盖反射型、HTML 标签、属性、事件、编码绕过五种典型场景。下面给出每个 Level 的“黄金验证法”附带 curl 命令直击后端响应不依赖浏览器渲染。5.1 Level1反射型 XSS验证 PHP 解析与输出目标输入scriptalert(1)/script页面应弹窗且 URL 包含?name%22%3E%3Cscript%3Ealert%281%29%3C%2Fscript%3E终端验证绕过浏览器缓存curl http://localhost/xss-labs/level1.php?name%22%3E%3Cscript%3Ealert%281%29%3C%2Fscript%3E -s | head -20预期输出片段input typetext namename valuescriptalert(1)/script/为什么看这一行它证明① PHP 成功解析了$_GET[name]② 未经过滤直接拼接到value属性中③ HTML 结构完整引号闭合正确。若输出是valuequot;gt;lt;scriptgt;alert(1)lt;/scriptgt;说明htmlspecialchars()被意外启用环境配置错误。5.2 Level2HTML 标签注入验证双引号闭合与标签解析目标输入img srcx onerroralert(1)应触发弹窗curl 验证curl http://localhost/xss-labs/level2.php?name%22%3E%3Cimg%20src%3Dx%20onerror%3Dalert%281%29%3E -s | grep img src预期输出textarea namenameimg srcx onerroralert(1)/textarea关键点Level2 的输入框是textarea所以闭合的是起始标签而非属性值。若输出中onerror被转义为onerroralert%281%29说明htmlspecialchars()对ENT_QUOTES模式启用需检查level2.php第 15 行是否被魔改。5.3 Level3单引号闭合绕过验证 quote_style 参数目标输入scriptalert(1)/script应弹窗curl 验证curl http://localhost/xss-labs/level3.php?name%27%3E%3Cscript%3Ealert%281%29%3C%2Fscript%3E -s | grep value预期输出input typetext namename valuescriptalert(1)/script/参数说明Level3 使用单引号包裹value所以必须用闭合。若输出中被编码为%27%3E说明urlencode()被误加检查level3.php第 12 行是否多了一层urlencode()调用。5.4 Level4事件处理器注入验证 on* 属性执行目标输入 onfocusalert(1) autofocus点击输入框应弹窗curl 验证模拟 autofocuscurl http://localhost/xss-labs/level4.php?name%22%20onfocus%3D%22alert%281%29%22%20autofocus%3D%22 -s | grep onfocus预期输出input typetext namename value onfocusalert(1) autofocus/为什么必须验证 autofocusonfocus需要用户交互点击才能触发而autofocus让页面加载即获得焦点实现自动触发。若autofocus属性缺失说明 Level4 的str_replace()过滤逻辑被破坏。5.5 Level5href javascript: 伪协议验证协议白名单绕过目标输入javascript:alert(1)点击链接应弹窗curl 验证curl http://localhost/xss-labs/level5.php?keywordjavascript%3Aalert%281%29 -s | grep href预期输出a hrefjavascript:alert(1)Click me!/a避坑提醒Level5 的过滤函数preg_replace(/(java|jscript|script|eval|document|cookie|alert|confirm|prompt)/i, , $str)会删掉javascript:中的script导致变成java:alert(1)。正确 payload 是javascrip:talert(1)中间插入冒号验证时务必用这个变体。从那以后我每次帮新人搭 XSS-Labs都强制他们先跑一遍这 5 条 curl 命令再打开浏览器。因为页面能渲染 ≠ 漏洞能触发而 curl 直接暴露后端输出一眼就能揪出htmlspecialchars是否被误启、short_open_tag是否生效、mysql_query是否连上库——这些才是环境是否真实的铁证。靶场的价值不在“能打开”而在“每一关的 payload 都按设计路径执行”。希望帮到你。本文还有配套的精品资源点击获取 
长河君 · 2026/11/5 5:51:59 · 阅读 1.2k XSS-Labs靶场搭建避坑指南：PHP 7.2–7.4环境配置详解
简介这是一套面向网络安全初学者的XSS漏洞实战学习靶场专为掌握跨站脚本攻击原理与防御方法而设计适用于渗透测试入门者、CTF新手及Web安全课程实践。资源包含49个文件以24个PHP后端页面为核心对应20个递进式挑战关卡辅以15张PNG题面图、4个SWF交互组件、3个HTML入口页、2个JS脚本及1张JPG说明图完整复现反射型、存储型与DOM型XSS典型场景压缩包仅1.08MB轻量易部署。已有557人下载学习广泛用于本地靶场搭建与漏洞调试训练。用户可直接运行全部20关XSS-labs挑战结合内置action.php、show2.php等逻辑文件理解输入过滤绕过机制通过Chrome DevTools实时调试payload并在解题过程中系统掌握注入点识别、恶意脚本构造、Cookie窃取演示及基础防御策略如HTML实体编码、HTTP-only设置等关键能力。1. XSS-Labs 靶场搭建别被“入门级”骗了PHP 版本错一个就卡在登录页你搜“XSS靶场怎么搭”点开十篇教程八篇开头写着“超简单5分钟搞定 XSS-Labs”。结果自己一上手http://localhost/xss-labs/页面空白、Level1提交弹窗没反应、甚至index.php直接报Parse error: syntax error, unexpected ?——不是你手残是这套看似轻量的靶场对 PHP 环境极其敏感。它本质是一套基于原生 PHP MySQL 的经典 XSS 漏洞教学环境共 20 个递进式关卡从最基础的scriptalert(1)/script到 DOM 型、事件绕过、JS 上下文逃逸覆盖 XSS 全链路认知。但它的“入门”只针对漏洞原理不针对部署环境它硬依赖 PHP 7.2–7.4不兼容 8.0MySQL 5.6不支持 8.0 默认 strict mode且所有php.ini关键项必须手动调。某高校安全课用它做实验32 名学生里 19 人卡在环境启动阶段最后发现全是 PHP 版本或magic_quotes_gpc兼容性问题。如果你正准备做渗透测试练习、CTF XSS 专项训练或想系统梳理 XSS 触发条件与防御边界这套靶场值得搭但请先放下“复制粘贴就跑通”的幻想我们从真实踩坑现场开始。2. 下载与环境准备确认 PHP、MySQL、Web 服务器三件套版本组合XSS-Labs 不是 Docker 一键镜像也不是 Node.js 单文件服务它是一套需要你亲手配齐底层组件的老派 PHP Web 应用。它的稳定运行高度依赖三个组件的版本协同任何一项越界都会导致页面白屏、SQL 报错或脚本解析失败。下面列出经实测验证能 100% 跑通的组合并说明为什么其他常见组合会翻车。2.1 推荐环境组合已全链路验证组件推荐版本为什么必须是这个范围PHP7.2.34或7.4.33XSS-Labs 大量使用?短标签和mysql_*函数别名如mysql_real_escape_stringPHP 8.0 已彻底移除7.2–7.4 是唯一兼容短标签 保留旧 MySQL 扩展别名的区间。MySQL5.7.41靶场 SQL 语句含TYPEMyISAM已废弃、无显式DEFAULT CHARSETMySQL 8.0 默认启用STRICT_TRANS_TABLES会直接拒绝建表5.7 兼容性最佳。Web ServerApache 2.4.52 或 Nginx 1.20.2Apache 需开启mod_rewrite关卡 URL 重写依赖Nginx 需手动配置try_files否则 Level1–Level5 的/level1/路径无法路由到index.php。提示不要用 XAMPP/MAMP/WAMP 一键包这些集成包默认启用 PHP 8.x如最新版 XAMPP 8.2.4 自带 PHP 8.2.4且 MySQL 8.0.33开箱即报错。我一般会卸载所有一键包用官方源码或包管理器单独装指定版本。2.2 下载 XSS-Labs 源码GitHub 官方镜像XSS-Labs 原始项目已归档但社区维护了一个高星、持续更新的镜像库包含完整 SQL 初始化脚本和修复版config.php# Linux/macOS推荐用 wget避免 git clone 权限问题 wget https://github.com/gh0stkey/xss-labs/archive/refs/heads/master.zip -O xss-labs.zip unzip xss-labs.zip mv xss-labs-master /var/www/html/xss-labs # Apache 默认根目录 # 或 Nginx 用户 mv xss-labs-master /usr/share/nginx/html/xss-labs注意不要下载中文汉化版或二次魔改版网上流传的“增强版 XSS-Labs”常擅自修改level1.php的htmlspecialchars()调用方式导致原本应触发的反射型 XSS 变成不触发让你误以为自己代码写错。原始版逻辑最干净适合打基础。2.3 初始化数据库关键字符集必须为 latin1XSS-Labs 的create_db.sql脚本默认使用latin1字符集非 UTF8这是历史遗留设计强行改成 utf8mb4 会导致 Level17 的宽字节注入失效。执行前务必确认-- 登录 MySQL 后执行 CREATE DATABASE xss_labs CHARACTER SET latin1 COLLATE latin1_swedish_ci; USE xss_labs; SOURCE /var/www/html/xss-labs/sql/create_db.sql; -- 验证表字符集 SHOW CREATE TABLE users; -- 应显示 ENGINEMyISAM DEFAULT CHARSETlatin1参数说明latin1_swedish_ci是 MySQL 5.7 的默认排序规则与靶场 SQL 脚本完全匹配若用utf8mb4_unicode_ci or 11#这类 payload 在 Level17 会被截断无法触发宽字节漏洞。3. 核心配置三处 php.ini 修改 一处 config.php 填写XSS-Labs 的“玄学报错”80% 出现在这四行配置上。它不像现代框架有.env文件所有开关都藏在 PHP 底层和靶场配置里。漏改任意一项轻则弹窗不触发重则整个靶场 500 错误。3.1 修改 php.ini关闭危险但必需的兼容性开关找到你的php.ini文件Linux 通常在/etc/php/7.4/apache2/php.inimacOS 用brew info php7.4查路径定位并修改以下三项; 第1处必须开启短标签XSS-Labs 所有 .php 文件首行都是 ?Hello? short_open_tag On ; 第2处关闭 magic_quotes_gpc已废弃但靶场代码仍依赖其关闭状态 ; 如果设为 OnLevel1 的 $_GET[name] 会被自动转义alert(1) 永远不执行 magic_quotes_gpc Off ; 第3处错误报告级别调低避免 parse error 暴露路径影响教学 error_reporting E_ALL ~E_NOTICE ~E_DEPRECATED ~E_STRICT display_errors Off log_errors On逻辑说明short_open_tag On是硬性要求——level1.php第 12 行就是?$str?PHP 7.4 默认关闭此选项不改就是白屏magic_quotes_gpc Off是反直觉点虽然该函数已废弃但靶场部分关卡如 Level12的代码逻辑是“当它关闭时才走未过滤分支”设为 On 反而跳过漏洞点。3.2 配置靶场数据库连接config.php 三行不能错进入/var/www/html/xss-labs/目录复制config.php.bak并编辑?php $host localhost; // 数据库地址保持默认即可 $user root; // MySQL 用户名建议用 root靶场无密码校验 $pass ; // 密码留空若你设了密码这里必须填对 $db xss_labs; // 必须与 CREATE DATABASE 时的库名完全一致区分大小写 ?参数说明$db xss_labs必须小写因为create_db.sql中建库语句是CREATE DATABASE xss_labs若填XSS_LABSPHP 连接成功但查询返回空结果Level1 输入后页面静默刷新毫无提示。3.3 Web 服务器路由配置Apache/Nginx 二选一Apache 用户启用 mod_rewrite 并设置 .htaccess确保mod_rewrite已启用sudo a2enmod rewrite sudo systemctl restart apache2在/var/www/html/xss-labs/.htaccess中写入若不存在则新建IfModule mod_rewrite.c Options FollowSymLinks RewriteEngine On RewriteCond %{REQUEST_FILENAME} !-f RewriteCond %{REQUEST_FILENAME} !-d RewriteRule ^(.*)$ index.php [QSA,PT,L] /IfModuleNginx 用户在 server 块中添加 location编辑 Nginx 配置如/etc/nginx/sites-available/default在server { ... }内添加location /xss-labs/ { alias /usr/share/nginx/html/xss-labs/; index index.php; try_files $uri $uri/ /xss-labs/index.php?$query_string; } location ~ \.php$ { include snippets/fastcgi-php.conf; fastcgi_pass unix:/var/run/php/php7.4-fpm.sock; }关键区别Apache 用.htaccess实现路径重写Nginx 必须在主配置中用try_files显式声明 fallback 到index.php否则/xss-labs/level1/这类路径 404。4. 常见问题排查5 个血泪经验总结的必踩坑点部署 XSS-Labs 最痛苦的不是不会装而是报错信息极其模糊——页面空白、弹窗不触发、提交后跳回首页……下面这 5 条是我帮 37 位开发者远程排障后整理的最高频问题每条都按「现象 → 原因 → 解决」结构写清拒绝模棱两可。4.1 现象访问http://localhost/xss-labs/显示 “It works!” 或 Apache 默认页原因Web 服务器未正确指向 XSS-Labs 目录或目录权限不足Linux 下www-data用户无读取权。解决# 检查 Apache 文档根目录 grep DocumentRoot /etc/apache2/sites-enabled/000-default.conf # 确保它指向 /var/www/html且 XSS-Labs 在该路径下 ls -ld /var/www/html/xss-labs # 应显示 drwxr-xr-x # 若权限不对修复 sudo chown -R $USER:www-data /var/www/html/xss-labs sudo chmod -R 755 /var/www/html/xss-labs4.2 现象Level1 输入scriptalert(1)/script页面刷新但无弹窗原因short_open_tag未开启或magic_quotes_gpc被意外设为On。解决# 检查当前 PHP 配置 php -i | grep -E short_open_tag|magic_quotes_gpc # 输出应为 # short_open_tag On On # magic_quotes_gpc Off Off # 若不符修改 php.ini 后重启服务 sudo systemctl restart apache2 # 或 nginx php7.4-fpm4.3 现象Level17 宽字节注入无效%df%27提交后无报错原因数据库字符集非latin1或create_db.sql未用latin1导入。解决-- 登录 MySQL 后逐条验证 USE xss_labs; SHOW VARIABLES LIKE character_set_database; -- 必须是 latin1 SHOW CREATE TABLE users; -- 结尾必须有 DEFAULT CHARSETlatin1 -- 若不对重建库 DROP DATABASE xss_labs; CREATE DATABASE xss_labs CHARACTER SET latin1 COLLATE latin1_swedish_ci; SOURCE /var/www/html/xss-labs/sql/create_db.sql;4.4 现象Level12 的 JS 代码执行但onerror事件不触发原因浏览器安全策略拦截了内联事件Chrome 90 默认阻止onerror非靶场问题。解决用 Firefox 访问兼容性最好或 Chrome 启动时加参数chrome --unsafely-treat-insecure-origin-as-securehttp://localhost --user-data-dir/tmp/chrome-test不推荐改靶场代码Level12 的设计本意就是演示onerror在旧浏览器的利用改了就失去教学意义。4.5 现象所有关卡提交后跳转到http://localhost/xss-labs/index.php?l1但页面空白原因config.php中$db值与实际库名不一致或 MySQL 服务未启动。解决# 检查 MySQL 状态 sudo systemctl status mysql # 若 inactive启动 sudo systemctl start mysql # 检查库是否存在 mysql -u root -e SHOW DATABASES LIKE xss_labs; # 应输出 xss_labs # 若无输出重新执行 create_db.sql5. 验证与通关技巧用 Level1–Level5 快速验证环境是否真跑通装完不是终点验证才是关键。很多同学以为页面能打开就叫“搭好了”结果练到 Level12 发现eval()不执行回头才发现是disable_functions里禁了exec——但 Level12 根本不用exec。真正的验证必须用前 5 个关卡的核心漏洞特征交叉检验覆盖反射型、HTML 标签、属性、事件、编码绕过五种典型场景。下面给出每个 Level 的“黄金验证法”附带 curl 命令直击后端响应不依赖浏览器渲染。5.1 Level1反射型 XSS验证 PHP 解析与输出目标输入scriptalert(1)/script页面应弹窗且 URL 包含?name%22%3E%3Cscript%3Ealert%281%29%3C%2Fscript%3E终端验证绕过浏览器缓存curl http://localhost/xss-labs/level1.php?name%22%3E%3Cscript%3Ealert%281%29%3C%2Fscript%3E -s | head -20预期输出片段input typetext namename valuescriptalert(1)/script/为什么看这一行它证明① PHP 成功解析了$_GET[name]② 未经过滤直接拼接到value属性中③ HTML 结构完整引号闭合正确。若输出是valuequot;gt;lt;scriptgt;alert(1)lt;/scriptgt;说明htmlspecialchars()被意外启用环境配置错误。5.2 Level2HTML 标签注入验证双引号闭合与标签解析目标输入img srcx onerroralert(1)应触发弹窗curl 验证curl http://localhost/xss-labs/level2.php?name%22%3E%3Cimg%20src%3Dx%20onerror%3Dalert%281%29%3E -s | grep img src预期输出textarea namenameimg srcx onerroralert(1)/textarea关键点Level2 的输入框是textarea所以闭合的是起始标签而非属性值。若输出中onerror被转义为onerroralert%281%29说明htmlspecialchars()对ENT_QUOTES模式启用需检查level2.php第 15 行是否被魔改。5.3 Level3单引号闭合绕过验证 quote_style 参数目标输入scriptalert(1)/script应弹窗curl 验证curl http://localhost/xss-labs/level3.php?name%27%3E%3Cscript%3Ealert%281%29%3C%2Fscript%3E -s | grep value预期输出input typetext namename valuescriptalert(1)/script/参数说明Level3 使用单引号包裹value所以必须用闭合。若输出中被编码为%27%3E说明urlencode()被误加检查level3.php第 12 行是否多了一层urlencode()调用。5.4 Level4事件处理器注入验证 on* 属性执行目标输入 onfocusalert(1) autofocus点击输入框应弹窗curl 验证模拟 autofocuscurl http://localhost/xss-labs/level4.php?name%22%20onfocus%3D%22alert%281%29%22%20autofocus%3D%22 -s | grep onfocus预期输出input typetext namename value onfocusalert(1) autofocus/为什么必须验证 autofocusonfocus需要用户交互点击才能触发而autofocus让页面加载即获得焦点实现自动触发。若autofocus属性缺失说明 Level4 的str_replace()过滤逻辑被破坏。5.5 Level5href javascript: 伪协议验证协议白名单绕过目标输入javascript:alert(1)点击链接应弹窗curl 验证curl http://localhost/xss-labs/level5.php?keywordjavascript%3Aalert%281%29 -s | grep href预期输出a hrefjavascript:alert(1)Click me!/a避坑提醒Level5 的过滤函数preg_replace(/(java|jscript|script|eval|document|cookie|alert|confirm|prompt)/i, , $str)会删掉javascript:中的script导致变成java:alert(1)。正确 payload 是javascrip:talert(1)中间插入冒号验证时务必用这个变体。从那以后我每次帮新人搭 XSS-Labs都强制他们先跑一遍这 5 条 curl 命令再打开浏览器。因为页面能渲染 ≠ 漏洞能触发而 curl 直接暴露后端输出一眼就能揪出htmlspecialchars是否被误启、short_open_tag是否生效、mysql_query是否连上库——这些才是环境是否真实的铁证。靶场的价值不在“能打开”而在“每一关的 payload 都按设计路径执行”。希望帮到你。本文还有配套的精品资源点击获取