如果你是一位渗透测试新手，那么我建议你学习本系列文章，通过本系列文章你可以认识常见漏洞以及学会基础php代码审计，在这之前你需要搭建环境DVWA靶场。
一、靶场搭建
首先需要php集成环境，在这里笔者推荐使用phpstudy，下载地址:http://www.phpstudy.net/phpstudy/phpStudy20161103.zip
安装成功后启动如下图所示，Apache和mysql均为绿色接下来下载dvwa，下载地址:https://github.com/ethicalhack3r/DVWA
将其解压放在phpstudy的www文件夹下，点击config文件，将config.inc.php文件里的db_user以及db_psd值均修改为root并保存，复制一份config.inc.php.dist文件并将其与原文件放在同一目录下，修改后缀名为.php，否则在启动时会报错，如下图文件1和3所示接下来登录网站，127.0.0.1/dvwa/index.php，用户名为admin，密码为password。登陆成功后如下图所示：DVWA有三种模式，低中高可以在security中设置，点击右下角view source便可以查看源代码。
二、反射型xss
首先我们从low开始看起，查看源代码
Hello ' . $_GET[ 'name' ] . ''; } ?>
代码直接引用了name参数，并且未做任何过滤，此时我们提交恶意代码便会被执行，例如接下来我们看Medium，代码如下
或者其他不包含