如何在ASP.NET Core 5.0 MVC中模拟XSS攻击？

安全阿岳

2026-8-19

模拟XSS攻击的实现方法（ASP.NET Core 5.0 MVC）

问题出在ASP.NET Core MVC的默认行为：当控制器直接返回string类型时，框架会自动对输出内容做HTML编码，导致你的<script>标签被转义成纯文本（比如<变成<），无法被浏览器解析执行。

要成功模拟XSS，需要让输出内容不被自动编码，两种简单方法如下：

方法一：返回`HtmlString`类型

修改控制器代码，引入Microsoft.AspNetCore.Html命名空间，将返回类型改为HtmlString：

using Microsoft.AspNetCore.Html;

public class HelloWorldController : Controller
{
    public HtmlString Welcome(string name)
    {
        return new HtmlString(name);
    }
}

方法二：返回`ContentResult`并指定HTML内容类型

将返回类型改为IActionResult，用Content方法返回内容并设置类型为text/html：

public class HelloWorldController : Controller
{
    public IActionResult Welcome(string name)
    {
        return Content(name, "text/html");
    }
}

修改完成后，重新访问/helloworld/welcome?name=<script>alert("hello")</script>，就能触发alert弹窗。