XSS-Platform 源码部署实战：PHP 7.4 + Apache 环境 5 步配置避坑指南

在网络安全领域，XSS（跨站脚本攻击）是最常见的安全漏洞之一。对于安全研究人员和渗透测试人员来说，搭建一个私有的 XSS 平台不仅能够保护测试数据的安全，还能提供更灵活的测试环境。本文将详细介绍如何在 PHP 7.4 + Apache 环境下高效部署 XSS-Platform，并提供关键配置清单和常见问题解决方案。

1. 环境准备与源码获取

在开始部署之前，我们需要确保基础环境已经就绪。对于 PHP 7.4 + Apache 的组合，推荐使用以下配置：

• 操作系统：Ubuntu 20.04 LTS 或 CentOS 8（Windows 用户可使用 WSL2）
• Web 服务器：Apache 2.4.x
• 数据库：MySQL 5.7+ 或 MariaDB 10.3+
• PHP 版本：7.4（必须包含以下扩展）
  • pdo_mysql
  • mbstring
  • gd
  • openssl

源码获取方式： 目前 GitHub 上有多个维护良好的 XSS-Platform 分支，推荐使用以下两个版本：

1. thickforest/xss_platform （PHP 7.x 适配版）
2. 78778443/xssplatform （带中文说明文档）

提示：避免使用百度网盘等第三方来源的源码，可能存在安全隐患或被篡改的风险。

2. 数据库配置与初始化

数据库是 XSS-Platform 的核心组件，正确的配置能避免后续出现数据存储问题。以下是详细步骤：

1. 登录 MySQL/MariaDB 创建专用数据库：

   CREATE DATABASE xssplatform CHARACTER SET utf8mb4 COLLATE utf8mb4_unicode_ci; CREATE USER 'xssuser'@'localhost' IDENTIFIED BY 'StrongPassword123!'; GRANT ALL PRIVILEGES ON xssplatform.* TO 'xssuser'@'localhost'; FLUSH PRIVILEGES;

2. 导入初始数据结构：

   mysql -u xssuser -p xssplatform < xssplatform.sql

关键参数说明表：

3. 配置文件深度定制

XSS-Platform 有两个关键配置文件需要修改：config.php和authtest.php。以下是必须修改的参数清单：

config.php 关键配置：

// 数据库连接配置 define('DB_HOST', 'localhost'); define('DB_USER', 'xssuser'); define('DB_PASS', 'StrongPassword123!'); define('DB_NAME', 'xssplatform'); // 平台基础配置 define('URL', 'http://yourdomain.com/xss'); // 必须与实际访问路径一致 define('REGISTER', 'normal'); // 初始设置为 normal 以便注册管理员 define('INVITE', 'off'); // 初始关闭邀请码功能

authtest.php 修改要点：

• 将所有http://xsser.me替换为你的实际域名
• 确保 URL 路径结尾没有斜杠/

注意：完成管理员账户注册后，需要将REGISTER改回invite并开启INVITE以提高安全性。

4. Apache 环境专项优化

Apache 的配置直接影响 XSS-Platform 的可用性和安全性。以下是针对 XSS-Platform 的优化配置：

1. 启用必要的模块：

   sudo a2enmod rewrite sudo a2enmod headers sudo systemctl restart apache2

2. 虚拟主机配置示例：

   <VirtualHost *:80> ServerName xss.yourdomain.com DocumentRoot /var/www/xssplatform <Directory /var/www/xssplatform> Options FollowSymLinks AllowOverride All Require all granted DirectoryIndex index.php </Directory> ErrorLog ${APACHE_LOG_DIR}/xss_error.log CustomLog ${APACHE_LOG_DIR}/xss_access.log combined </VirtualHost>

3. 解决 403 错误的决策树：

   • 检查目录权限：chown -R www-data:www-data /var/www/xssplatform
   • 确认 SELinux/AppArmor 未阻止访问
   • 检查 Apache 的Require all granted配置
   • 验证AllowOverride All是否生效

5. 伪静态配置与功能验证

伪静态规则是 XSS-Platform 正常工作的关键。以下是针对 Apache 的优化配置：

.htaccess 完整配置：

<IfModule mod_rewrite.c> RewriteEngine On RewriteBase / RewriteRule ^([0-9a-zA-Z]{6})$ index.php?do=code&urlKey=$1 [L] RewriteRule ^do/auth/(\w+?)(/domain/([\w\.]+?))?$ index.php?do=do&auth=$1&domain=$3 [L] RewriteRule ^register/(.*?)$ index.php?do=register&key=$1 [L] RewriteRule ^register-validate/(.*?)$ index.php?do=register&act=validate&key=$1 [L] RewriteRule ^login$ index.php?do=login [L] # 防止直接访问 JS 文件 RewriteCond %{REQUEST_URI} \.js$ RewriteRule ^ - [F] </IfModule>

平台功能验证清单：

1. 注册新用户并登录
2. 创建测试项目并生成 XSS 代码
3. 在测试页面触发 XSS 代码
4. 验证平台是否能正确接收和显示测试结果
5. 检查管理员功能（用户管理、项目管理等）

高级配置与安全加固

完成基础部署后，建议进行以下安全加固：

1. 文件权限控制：

   chmod 750 /var/www/xssplatform/ chmod 640 /var/www/xssplatform/config.php

2. 定期备份策略：

   # 数据库备份 mysqldump -u xssuser -p xssplatform > xss_backup_$(date +%F).sql # 代码备份 tar czvf xss_code_$(date +%F).tar.gz /var/www/xssplatform

3. HTTPS 强制启用：

   <VirtualHost *:443> SSLEngine on SSLCertificateFile /path/to/cert.pem SSLCertificateKeyFile /path/to/privkey.pem # 其他配置与 HTTP 版本相同 </VirtualHost>

在实际使用中，我发现最容易被忽视的问题是.htaccess文件的路径配置。特别是在子目录部署时，必须确保RewriteBase设置正确，否则生成的 XSS 链接将无法正常工作。建议在每次修改配置后，使用curl -v测试 URL 重定向是否按预期工作。