1.什麼是XSS？
攻擊者把惡意程式碼塞進網站裡，讓其他使用者在瀏覽網站時被執行。駭客可以用這種方式偷取使用者Cookie，也就是竊取帳號密碼，也可以偽造按鈕、引導點擊釣魚連結，或是插入假表單收集個資等都有可能，可以說是網站沒檢查你的輸入，導致你的程式碼直接跑在別人瀏覽器裡，程式碼通常是JavaScript。

2.在DVWA動手試試
登入DVWA後，左邊選單有XSS選項，但有分兩個，一個是Stored，一個是Reflected，XSS(Stored)是指儲存型，惡意程式碼會被存到資料庫，其他使用者來看都會中招。而XSS(Reflected)是反射型，程式碼只存在於URL或表單回應，不會被存下來。因為安全考量，我只試了反射型，點進去後，會看到輸入框：

問題很簡單，只是問你的名字，需要你輸入文字，但若我們將程式碼直接輸入於此

<script>alert('XSS成功！')</script>

會出現警示對話框：

按關閉後還是會在原頁面顯示Hello：

這是反射型XSS攻擊，屬於比較簡單的攻擊，若使用儲存型，下次開啟頁面時，還是會自動執行該程式碼。

3.心得
這次試試DVWA做XSS測試，比較直覺、容易，要注意的是需使用JavaScript，且這次實作背後的運作是我們輸入的程式碼會在另一個地方執行，導致我們的個資被竊取，原本以為只是簡單輸入一個名字欄位，沒想到卻能直接插入程式碼，這讓我意識到，如果開發者沒有做好檢查，使用者輸入不只是文字，還可能變成駭客攻擊的工具。