打开DVWA，环境把安全级别调到low，下进行一个赤裸裸的攻击反射型XSS漏洞就摆在眼前。页面就一个输入框，环境让你提交名字，下进行然后原样回显。攻击这种场景在真实渗透里太常见了——搜索框、环境留言板、下进行URL参数，攻击凡是环境用户输入直接拼进HTML的地方，都是下进行猎场。

我在输入框里敲下 <script>alert('xss')</script>，攻击点击提交，环境浏览器弹出一个对话框。下进行第一次做这个实验的攻击人可能会觉得无聊——就这？但老手都知道，弹窗只是证明注入点存在，真正的戏法在后面。偷cookie、键盘记录、钓鱼页面，全都建立在这个弹窗的基础上。

把级别调到medium，事情开始变得有趣。DVWA开始过滤<script>标签了，直接替换成空字符串。但过滤不彻底，只挡了这一个标签。我换成<img src=x onerror=alert('xss')>，图片加载失败触发onerror事件，照样弹窗。这种绕过方式在实战中屡试不爽，因为很多开发者只知道防script标签，却不知道HTML事件属性、SVG标签、iframe、编码变形等一堆绕过路径。

high级别才是真正的考验。输入被做了htmlspecialchars处理，尖括号全被转义成实体，常规的标签注入全部失效。看起来固若金汤？别急着下结论。我试了试<a href="javascript:alert('xss')">点我</a>，确实被拦了。但DVWA的high级别有个著名漏洞——它允许某些协议，比如data:text/html。用<iframe src="data:text/html,<script>alert('xss')</script>">，照样突破防线。这提醒我，XSS攻防本质上是编码与过滤规则的军备竞赛，没有绝对的安全。

最讽刺的是，DVWA的XSS页面还自带一个“User-Agent”测试接口。浏览器每次访问都会发送User-Agent头，DVWA把它直接打印在页面上。low级别下，我改了UA头，塞进XSS payload，访问页面就触发了。这场景模拟的是日志分析系统——管理员后台看日志，日志里存着攻击者的UA，如果没做转义，管理员看个日志都能被反打。真实世界里，很多企业内网就是这么被攻破的。

整个实验做完，我的感受是：XSS的杀伤力被严重低估。很多人觉得它只是“弹个窗”，但结合BeEF框架，XSS能接管浏览器，控制摄像头、键盘记录、发起内网扫描。DVWA把难度分级，恰恰说明XSS的防御是个系统工程——输入过滤要层层设防，输出编码要处处留神，还得考虑WAF绕过和浏览器特性。搞安全的都知道，防住XSS没有银弹，只有持续测试和代码审计。

最后说个题外话。DVWA的设计者故意在代码里留了注释，标出每个漏洞的位置，方便学习者对照源码分析。这种“明牌教学”和真实黑盒测试差距很大——现实中没人告诉你漏洞在哪。但恰恰是这种从已知到未知的训练路径，能帮你建立漏洞模式的肌肉记忆。等你在DVWA里玩熟了各种绕过姿势，再去挖真实站点的XSS，你会感谢这段“打靶”时光。