前言这份总结整合 PortSwigger 官方 WebSocket 攻防体系结合咱们前三阶段练过的全部实战内容包含 AST 语法逃逸、服务端状态机篡改、CSWSH 劫持、数据外带整套利用方法。 避开晦涩堆砌式术语用贴合实战、好复盘理解的通俗专业表述从网络协议、前端代码解析、后端连接状态三个角度梳理 WebSocket 全流程漏洞一、WebSocket 流量抓包与业务交互规则梳理想完成任何 WebSocket 漏洞利用第一步必须完整抓包、看懂流量、摸透业务交互逻辑这里分三块讲清容易混淆的底层细节。1.1 WebSocket 靠 HTTP 完成握手不能独立建连接WebSocket 没有单独的 TCP 建连流程协议规定必须先发 HTTP 升级请求带上Upgrade: websocket、Connection: Upgrade两个请求头告诉服务器切换通信方式。 用 Burp 抓包会看到两段完全不同的流量握手阶段是普通 HTTPS 请求报文长连接通信阶段协议切换完成后所有收发数据都会打包成独立的数据帧传输。1.2 抓包显示 https写代码却必须填 wss:// 的原因抓包工具展示的是底层真实网络传输报文握手请求会带上 https 标识但浏览器自带的new WebSocket()接口有强制语法校验。 前端代码如果填http://、https://浏览器 JS 解析器会直接抛出DOMException报错创建连接失败。只能写ws://明文或wss://加密浏览器底层会自动转换成合规的 HTTP 升级握手报文。1.3 抓包重点找到触发服务端下发数据的指令很多后端是事件驱动机制连接成功后不会主动推送消息必须客户端发送指定指令比如固定字符串READY、查询请求、心跳包后端才会查询数据库、推送聊天 / 隐私数据。 复盘和渗透时一定要记录下这类触发指令这是后续窃取数据的必要前置步骤。二、篡改传输数据帧利用注入漏洞XSS/SQL 注入这块是直接和业务逻辑对抗绝大多数漏洞根源是开发把 WebSocket 当成纯传输管道默认信任客户端发来的所有数据没做过滤校验传统网页注入漏洞会完整复刻到长连接里。2.1 嵌套 JSON 结构发送恶意代码避免后端程序崩溃如果直接发送纯 HTML 恶意脚本会破坏 JSON 标准格式后端执行JSON.parse()解析时直接报错线程中断连接被服务器强制断开攻击直接失效。 标准可行的构造方式把恶意代码塞进业务正常的 JSON 结构里匹配后端接收格式示例{message:img srcx onerrorstealData()}结构化数据不会触发解析报错能正常到达业务处理逻辑。2.2 绕过 WAF 关键词拦截利用浏览器解析差异AST 语法逃逸市面上大部分 WAF 只靠正则匹配文本关键词但浏览器 JS 引擎解析代码会生成抽象语法树AST执行两套识别规则不一样可以稳定绕过拦截两种实战常用手段大小写混淆绕过HTML 识别事件标签不区分大小写WAF 只拦截小写onerror改成oNeRrOr就能规避检测ES6 模板字符串消去危险符号普通恶意代码alert(1)带括号极易被拦截换成alert1传输内容里没有括号但浏览器执行效果完全一致。三、篡改握手请求绕过边界防火墙 / WAF 拦截如果发送数据帧被防火墙拦截、本机 IP 拉黑就退回连接建立的握手阶段修改七层请求头欺骗四层 IP 拦截规则重新建立一条不受限制的长连接。3.1 WAFIP 封禁的逻辑漏洞防火墙靠拉黑 IP 阻止恶意连接但判断 “这个 IP 是否可信” 的依据完全来自请求头里X-Forwarded-For这类转发字段等于用前端自定义内容决定网络层访问权限存在天然缺陷。3.2 完整绕过攻击步骤可直接复现之前发送恶意数据触发 WAF 拦截本机真实 IP 被拉黑现有长连接断开在 Burp Repeater 复制原始 WebSocket 握手请求修改X-Forwarded-For字段填写内网回环 IP、可信业务内网 IP重新发送协议升级握手防火墙读取伪造 IP判定为内网可信设备解除 IP 拦截限制成功建立全新 TCP 长连接后续所有恶意数据帧都能正常穿透边界防护。四、跨站 WebSocket 劫持 CSWSH劫持用户完整会话CSWSH 相当于长连接版本的 CSRF 跨站请求伪造危害更大普通 CSRF 只能单向发起操作而 CSWSH 能双向收发数据完整接管用户聊天、隐私信息、后台权限数据。4.1 漏洞产生的两个必要条件浏览器同源策略SOP有特殊豁免浏览器会拦截跨域 AJAX 读取数据但允许任意外部网站创建 WebSocket 连接访问恶意页面时浏览器会自动带上目标网站的 Cookie、登录会话后端校验逻辑缺失服务器只判断 Cookie 是否有效不检查握手请求里的Origin来源域名分不清请求来自官方页面还是恶意外部站点。 受害者打开恶意网站evil.com页面执行new WebSocket(wss://目标业务地址)浏览器自动附带受害者登录凭证服务器校验 Cookie 通过直接打通双向通信隧道。4.3 劫持后完整窃取数据流程标准化步骤好复盘建立跨域隧道恶意页面静默创建 WebSocket 连接靠浏览器自动携带的用户登录凭证完成握手触发后端推送数据监听onopen连接成功事件立刻发送业务触发指令如ws.send(READY)让后端下发用户隐私数据无跨域拦截外带数据监听onmessage接收后端推送的全部敏感内容先用btoa()做 Base64 编码避免特殊符号破坏 URL不用容易触发跨域拦截的 POST 请求改用 GET 方式把编码后的密文拼在 URL 参数里发送到攻击者自己的服务器服务器日志会完整留存全部窃取数据。五、企业落地四层安全防御标准针对上面流量篡改、帧注入、握手绕过、CSWSH 劫持四类攻击分四层搭建防护体系每一条都能直接配置到 Nginx、Java/Node 后端无复杂晦涩概念。5.1 传输层全程加密杜绝链路窃听线上业务禁止使用明文ws://在 Nginx 网关强制跳转加密协议统一使用wss://。依靠 TLS 加密所有传输数据防止局域网中间人抓包、篡改通信内容保证数据传输不泄露。5.2 接入层固定连接地址防止跳转劫持前端连接后端 WebSocket 的地址必须写死在代码里或者登录后由可信后端接口下发不能从 URL 参数、页面可控内容里拼接连接地址避免被篡改地址诱导用户连上黑客伪造的服务器。5.3 握手层双重校验彻底阻断跨站劫持 CSWSH网关校验来源域名 Origin处理握手请求时只放行提前录入的可信业务域名所有陌生外部域名直接拦截URL 携带一次性防伪造 TokenWebSocket 接口不能自定义请求头把单次随机 Token 加在握手链接末尾示例wss://api.com/chat?csrf_token随机值后端同时校验 Token 和 Cookie 登录状态恶意跨域页面无法读取页面内的 Token无法完成握手。5.4 传输管道零信任校验拦截注入类漏洞不能认为握手安全就代表传输的数据安全所有收发的数据帧都要做校验客户端上传的数据严格匹配预设 JSON 格式过滤恶意脚本、注入关键词、畸形特殊字符服务端推送给前端的数据统一做 HTML 实体转义就算数据里带脚本标签前端渲染后也无法执行 核心要点握手防护和数据帧校验缺一不可。全系列复盘总结简洁好记忆整套 WebSocket 安全学习分为 4 个阶段循序渐进第一阶段基础协议原理、简单 WAF 绕过、广播消息 XSS 漏洞第二阶段多层防护穿透攻击、自研网关底层缺陷会话权限过期、CRLF 请求走私、大量空连接 DoS第三阶段CSWSH 跨站劫持完整原理、三段式标准化劫持窃取流程终章全景总结全流程流量篡改、数据帧逃逸、握手层绕过、企业可落地全套防御方案。所有 WebSocket 漏洞的核心根源可以统一记开发照搬 HTTP 短连接的开发思路做长连接安全防护只做一半只加固握手或只防护普通接口忽略传输帧、跨域来源校验默认信任 WebSocket 传输管道里的所有数据缺少过滤、鉴权基础安全逻辑。