用 JavaScript 改分數？XSS 攻擊的真相與誤區

XSS注入真的能改成績嗎？用實驗解構資安迷思

在資訊安全相關的社群、論壇與都市傳說中，時常可以見到一種說法：「用 JavaScript 注入就能改掉自己的成績」，甚至還有人展示了在校務系統介面中，將原本的成績動態改成更高分數的影片或截圖。這類說法真的成立嗎？從資安角度來看，它成立的技術條件又是什麼？

歡迎造訪官網【駭客脈動中心】 www.hackpulse.net

技術諮詢請聯絡Telegram:@HackPulse_Central

本文將深入探討 XSS（Cross-Site Scripting）攻擊的運作機制、可行性、限制與真實的防禦對策。

什麼是 XSS？基本原理概述

XSS（跨站腳本攻擊）是一種常見的 Web 應用漏洞，攻擊者可將惡意腳本注入到網站頁面中，當其他使用者瀏覽該頁面時，腳本便會在其瀏覽器端執行。常見目標包括竊取 Cookies、冒用會話、操作 DOM 節點或誤導使用者。

XSS 可分為三種主要類型：

1. 反射型 XSS（Reflected XSS）
    惡意腳本作為請求參數傳入，立即反射到回應頁面中（例如 URL query 參數直接顯示在頁面上）。

2. 儲存型 XSS（Stored XSS）
    攻擊腳本被永久儲存在伺服器端（如留言、公告、個人簽名），當其他使用者瀏覽含有該資料的頁面時即中招。

3. DOM 型 XSS（DOM-based XSS）
    利用前端 JavaScript 程式中的 DOM 操作不當，在客戶端範圍實現注入。

在校務系統中，若某些欄位（例如教師評語、公告留言板或個人設定欄）未經妥善處理輸入內容，就有可能成為 XSS 的注入點。

實驗：使用 XSS 改變網頁上的成績顯示

假設我們進入一個存在儲存型 XSS 的校務系統，並找到一個輸入點未經過濾，成功注入以下 JavaScript 程式碼：

<script>
document.querySelector(“#grade_value”).innerText = “95”;
</script>

當教師或學生下次查看該頁面時，原本的成績會被動態修改為 95 分。從表面上看，成績確實被「改變」了。

但事實上，這只是前端視覺上的假象。資料庫中真實紀錄的成績並未改變；只是瀏覽器在渲染網頁時套用了被操控的 DOM 結果。這種方式並不能：

• 真正修改後端資料庫中的成績欄位

• 改變官方輸出成績單（如 PDF、成績匯出）

• 被系統審核機制認可或保存

換句話說，這只是畫面上的欺騙行為，並非真正的成績竄改。

資安誤區：XSS 能「改成績」的誤解來源

XSS 的視覺效果容易造成誤導，特別是在沒有資安基礎的讀者眼中，畫面上的變化就代表資料真的被竄改。實際上，若無法繞過伺服器端邏輯，所有以 DOM 操控為主的注入行為都只能在使用者端「表演」，無法持久影響資料。

從攻擊者角度來看，XSS 的實際危害主要在於：

• 偷取其他使用者的登入憑證（例如 Cookies, Token）

• 偽造操作（CSRF 結合 XSS）

• 社交工程欺騙（如釣魚表單植入）

• 間接操作管理員帳戶導致進一步入侵

若要真正竄改成績，攻擊者需要另尋方式取得後端寫入權限，例如透過 SQL Injection、會話接管或橫向權限繞過等。

案例分析：模擬一個 XSS 成績偽造場景

場景設定：某大學的校務系統允許教師在「課程留言板」中輸入公告內容，該欄位在呈現時未進行 HTML escaping。

步驟如下：

1. 教師輸入 <script>document.getElementById('score').innerText='100'</script>

2. 公告儲存進資料庫，並顯示在所有學生課程首頁

3. 學生登入後，看到自己的成績欄顯示「100」而非真實分數

4. 當網頁重新整理或查看其他來源成績單，分數回復正常

這類行為在駭客影片中常被拿來吸引關注，但並不具備實質危害，除非與其他漏洞串聯。

防禦機制：如何修補與避免 XSS

針對此類攻擊，防禦機制已相當成熟，實務上應從以下幾點著手：

1. 輸出時進行內容轉義（Escaping）
    所有來自使用者輸入的資料，顯示前應經過 HTML encode，例如使用 htmlspecialchars()。

2. 使用 CSP（Content Security Policy）
    透過 HTTP 標頭指定允許載入的資源與腳本來源，防止內聯 script 被執行。

3. 禁用內聯腳本與 eval() 類函式
    可降低 XSS 攻擊利用率。

4. 框架內建防禦機制
    現代 Web 框架（如 Django、Ruby on Rails）預設會自動處理資料轉義，應避免刻意關閉。

5. 使用靜態程式碼分析工具
    自動掃描潛在 XSS 注入點。

系統管理員與開發者應主動針對使用者可輸入文字的欄位進行檢測與加強，並定期進行安全測試。

XSS 改成績是誤解，但不代表無害

從技術實證角度來看，XSS 改成績並不成立；它只能改變畫面，不會影響資料庫記錄。然而，若用於進一步攻擊（如竊取管理員憑證），則可能變成更高風險的入侵跳板。資訊安全的重點在於「不只是修漏洞，而是理解漏洞背後的真相與誤區」。

面對這類資安迷思，唯有透過實驗、邏輯分析與良好教育，才能真正提升系統防禦能力，也讓更多開發者與使用者看清哪些是幻象、哪些是真正的風險。

#資安 #XSS #跨站腳本攻擊 #成績系統 #資訊安全教育 #Web安全 #攻防實驗 #前端安全 #駭客模擬 #資安誤區解析