使用 AWS WAF 防护 Stored XSS 攻击完整指南

概述

Stored XSS（存储型跨站脚本攻击）是一种严重的 Web 安全漏洞，攻击者可以将恶意脚本存储到服务器，当其他用户访问时自动执行。本文介绍如何使用 AWS WAF 创建精确的防护规则，在不影响正常业务的前提下有效拦截 XSS 攻击。

漏洞场景分析

典型攻击流程

1. 攻击者在评论区输入恶意 HTML/JavaScript 代码
2. 前端验证被绕过（通过拦截请求修改 payload）
3. 服务器接受并存储恶意代码
4. 其他用户访问页面时，恶意代码被执行

常见 XSS Payload 示例

<!-- JavaScript 协议注入 -->
<a href="javascript:aler