这是否易受XSS攻击?

我知道这很容易受到攻击,因为黑客可能会嵌入访问网站URL的图像,并使用“message”参数进行各种操作:

<script>
var message = // get message parameter from URL, e.g domain.com?message=hello+there
document.write('Your message: ' + message);
</script>

……但是黑客有没有任何方法可以利用它(在没有任何其他JS的情况下)做任何事情?:

<script>
function displayMessage(message) {
  document.write(message);
}
</script>

显然,我可以在浏览器中打开控制台并键入任何内容,但黑客是否可以以某种方式调用JavaScript方法(仅使用此代码)?

我知道如果网站的顶部也有代码,那么可以调用该方法,但是一个方法可以自己调用吗?

顺便说一句,我并不打算这么做,它只是帮助我理解这一点。

我试过什么?

• 阅读owasp.org上的大量文档
• 谷歌搜索的术语,如XSS-你能调用一个方法吗
• http://excess-xss.com/
• http://www.golemtechnologies.com/articles/prevent-xss#how-to-test-if-website-vulnerable-to-cross-site-scripting
• 键入此问题时,请阅读导航面板中显示的许多类似问题