从一个反射型的XSS（get）弹窗开始认识XSS漏洞
输入一些特殊字符，看看会不会过滤掉，输出有没有被处理
查看源代码，搜索6666，发现原封不动的返回回来
JavaScript代码是不是也可以原封不动的返回回来呢？
修改一下输入的长度限制。
输入
搜索一下，代码被正确的插入到了前端，被浏览器给执行了
源码
把精心构造的链接，发给用户。用户一看前面的域名是比较著名的网站，以为没问题。
后面的却包含了恶意的JavaScript代码，已get的方式提交到了网站，被返回到用户的浏览器中执行了。
在此基础上，如果再继续深入了解JavaScript都可以干什么，那么这个精心构造的payload你也就会了。比如（获取cookie，钓鱼，键盘记录）
get与post的区别
