從一個反射型的XSS（get）彈窗開始認識XSS漏洞
輸入一些特殊字符，看看會不會過濾掉，輸出有沒有被處理
查看源代碼，搜索6666，發現原封不動的返回回來
JavaScript代碼是不是也可以原封不動的返回回來呢？
修改一下輸入的長度限制。
輸入
搜索一下，代碼被正確的插入到了前端，被瀏覽器給執行了
源碼
把精心構造的鏈接，發給用戶。用戶一看前面的域名是比較著名的網站，以為沒問題。
后面的卻包含了惡意的JavaScript代碼，已get的方式提交到了網站，被返回到用戶的瀏覽器中執行了。
在此基礎上，如果再繼續深入了解JavaScript都可以干什么，那么這個精心構造的payload你也就會了。比如（獲取cookie，釣魚，鍵盤記錄）
get與post的區別
