反射型XSS仅在Burp Repeater生效，手动访问失效的解决办法咨询

这种情况我碰到过好多次，核心问题就是浏览器和Burp Repeater对URL特殊字符的处理逻辑不一样——浏览器会自动把URL里的特殊字符（比如<、>、"这些）做URL编码，而你在Repeater里直接发的是未编码的Payload，服务器接收到的内容自然不同，导致XSS没法触发。下面是几个可行的解决思路：

1. 手动构造URL编码后的Payload #

把你Repeater里能用的Payload中的特殊字符替换成对应的URL编码值，比如：

• < → %3C
• > → %3E
• " → %22
• ' → %27
• ( → %28
• ) → %29

举个例子，原Payload是 <script>alert('XSS')</script>，编码后就变成 %3Cscript%3Ealert%28%27XSS%27%29%3C%2Fscript%3E。把这个编码后的字符串直接放到URL参数里，浏览器访问时会把它发送给服务器，服务器解码后就能得到原始的恶意脚本，从而触发XSS。

2. 用Burp直接导出可访问的URL #

在Burp Repeater中成功触发XSS的请求上右键，选择 Copy URL as requested，这个选项会复制Burp实际发送的URL（包含未编码的Payload）。不过有些浏览器粘贴后还是会自动编码，这时候可以配合Burp拦截：粘贴URL后不要回车，先打开Burp拦截，然后回车发送请求，在Burp里把参数中的编码内容改回原始Payload，再放行请求，就能看到XSS触发了。

另外，你也可以在Repeater的响应区域右键，选择 Generate PoC，Burp会自动生成包含编码Payload的URL，直接复制这个URL在浏览器打开就行。

3. 用浏览器开发者工具直接发送未编码请求 #

打开浏览器的开发者工具（F12），切换到Console标签，用fetch或者XMLHttpRequest直接发送请求，这样可以绕过浏览器的自动编码。比如：

fetch('/your-path?param=<script>alert(1)</script>')

或者用XMLHttpRequest：

let xhr = new XMLHttpRequest();
xhr.open('GET', '/your-path?param=<script>alert(1)</script>');
xhr.send();

执行这段代码后，浏览器会发送未编码的参数到服务器，只要你的Payload本身有效，就能触发XSS。

4. 调整Payload绕过编码限制 #

如果服务器对URL参数有额外的编码处理（比如二次解码或者过滤），可以试试混淆或替换Payload的写法：

• 用事件型Payload代替脚本标签，比如 <img src=x onerror=alert(1)>，这类Payload的特殊字符更少，编码后也更容易被服务器正确解析；
• 用Unicode编码替换部分字符，比如 \u003cscript\u003ealert(1)\u003c/script\u003e，有些服务器会自动解析Unicode编码；
• 用拆分标签的方式绕过过滤，比如 <scr<script>ipt>alert(1)</scr</script>ipt>，即使部分字符被编码，服务器拼接后仍能形成完整的脚本标签。

内容的提问来源于stack exchange，提问作者Humble