A company has hired a cybersecurity firm to assess web server security posture. To test for cross-site scripting vulnerabilities, the tester will use the string. Where would the tester use the string?

Đáp án đúng: "in a user input field in a web form". Cross-site scripting (XSS, chèn mã kịch bản chéo trang) xảy ra khi ứng dụng web nhận dữ liệu người dùng nhập rồi đưa lại vào trang mà không lọc hay mã hoá đầu ra, khiến trình duyệt thực thi nó như script; vì vậy chuỗi thử XSS được đặt vào nơi ứng dụng nhận đầu vào, điển hình là ô nhập trong biểu mẫu như ô tìm kiếm, bình luận hay tên hiển thị, rồi quan sát trang trả về. "in an HTTP header" sai vì dù một số ứng dụng phản chiếu header như User-Agent và có thể dính XSS qua đó, đây không phải vị trí thử điển hình mà câu hỏi hướng tới. "in an error message" sai vì thông báo lỗi do máy chủ sinh ra, người kiểm thử không gõ chuỗi vào đó. "in a terminal window on the server" sai vì XSS là lỗi biểu hiện ở trình duyệt của ứng dụng web; gõ vào terminal trên máy chủ là chạy lệnh hệ điều hành và đòi hỏi đã có quyền truy cập máy chủ.