大家好，我是 Kali 与编程讲师老 K，B 站和网易云课堂讲师，专注 Kali 教学，致力于帮助小白轻松学会 Kali 与编程，接下来你将分清《反射型 XSS VS 存储型 XSS》。

接触渗透测试的朋友，几乎都会遇到 XSS 跨站脚本漏洞，而反射型和存储型是最常见的两类，不少小白总把二者混为一谈。其实只要结合生活场景理解，就能一眼分清，今天全程用大白话讲解，哪怕是纯网络新手，也能彻底搞懂二者的原理、危害和区别。

先来讲反射型 XSS，业内也常叫它非持久型 XSS。我们把它类比成临时的 “弹窗恶作剧”。举个生活里的例子，街边有个临时互动展板，你输入一句话，展板就会立刻把内容展示出来。有人故意写了搞怪话术，你路过凑上去查看，当场就看到了恶作剧内容，可只要你离开这里、不再点开对应的入口，这个恶作剧就不会再出现。它只会在当下触发，不会一直留在展板上。

放到网络环境中也是同理。反射型 XSS 的恶意代码不会保存在网站服务器里，只是临时跟随链接、搜索框、弹窗等载体传递。典型场景就是恶意链接，攻击者构造好带恶意脚本的网址发给你，你点击链接的瞬间，浏览器接收并执行脚本，可能弹出广告、窃取当前页面的临时信息。一旦关闭页面、不再访问这条链接，攻击效果就随之消失。它的触发条件很明确：必须受害者主动点击恶意链接、提交恶意内容，属于 “一次性攻击”。而且攻击范围有限，一般只会影响点击链接的这一个人。日常网站的搜索功能、跳转页面，是反射型 XSS 的高发区域。

再说说存储型 XSS，也叫持久型 XSS，它更像是贴在公共场所的 “永久小广告”。就像小区公告栏，任何人都能往上贴纸条，有人偷偷贴了带陷阱的纸条，纸条会一直留在公告栏里。往后每一个路过查看公告栏的居民，都会看到这张陷阱纸条，都会受到影响，不是只针对某一个人。

对应到网络中，存储型 XSS 的恶意脚本会永久存入网站服务器。像论坛评论区、留言板、个人动态、商品评价这类可以发布内容的板块，都是重灾区。攻击者把恶意代码伪装成正常文字发布出去，代码就被网站保存下来。之后不管是谁打开这条评论、这条留言，浏览器都会自动执行里面的恶意脚本。它不需要别人特意点击恶意链接，只要正常浏览页面就会中招，传播范围广、持续时间长，危害远比反射型更大。严重时可以批量盗取大量用户账号信息、劫持全站访客浏览器，是渗透测试中重点防范的高危漏洞。

简单总结核心差异：反射型 XSS 是临时触发、一次性生效，靠恶意链接诱导点击；存储型 XSS 是永久留存、批量中招，依托网站留言发布内容传播。二者虽然都属于 XSS 漏洞，但攻击形式、影响范围、防护方式都大不相同。在使用 Kali 工具检测和实操时，也要根据特性选择对应的测试思路，避免判断失误。

评论区话题：你还见过哪些容易混淆的 XSS 相关知识点？一起来交流。

关注我，每天学习 Kali 知识。

免责声明：本文仅限技术学习交流，严禁用于各类非法网络攻击行为。

点击下方链接，学习黑客入门《Kali与编程最全课》

哔哩哔哩_bilibili