xss （reflected）

攻击者可以使用 XSS 向毫无戒心的用户发送恶意脚本。最终用户的浏览器无法知道脚本不应该被信任， 并将执行 JavaScript。由于恶意脚本认为脚本来自受信任的来源，因此可以访问任何 Cookie、会话令牌或其他 您的浏览器保留并与该网站一起使用的敏感信息。这些脚本甚至可以重写 HTML 页面的内容。

因为它是反射式 XSS，恶意代码不会存储在远程 Web 应用程序中，因此需要一些社交工程（例如通过电子邮件/聊天的链接）。

LOW

输入 

<script>alert(document.cookie)</script>

 MEDIUM

输入<scr<script>ipt>alert(1)</script>

 HIGH

输入<img src=1 onerror=alert(document.cookie)>

 

注意这些语句只是一次性的，当你点击确定之后，就无法使用他们了

 IMPOSSIBLE

使用内置的PHP函数（如“htmlspecialchars（）”）， 可以转义任何会改变输入行为的值。