我又又又又回來了，繼續從10大最常見的漏洞學吧
xss原理不多說（主要是現在還沒有搞的很透徹）
對於利用搜索框形成xss注入這件事，除了直接使用<script>alert('xss')</script>彈窗測試，可以觀察源碼在前面加”>等字符來繞過，
還使用js觸發事件，找出input里可以調用標簽的屬性，比如on事件，構造“onclick=”也可以實現這種操作，即隨便找一個可以觸發的屬性即可.
xss最大的危害應該就是把javascript代碼嵌入服務器使之執行，所以存儲型xss危害最大
這里安利一個很有意思的靶場http://test.ctf8.com/
繞過技巧
1.基礎命令
<script>alert('xss')</script>
在沒有禁用屏蔽的時候彈窗驗證
2.閉合代碼
閉合value代碼后再輸入xss測試語句
3.使用on事件構造彈窗代碼
onclick="alert(1)"等，其他on事件也可
4.構造新標簽來執行，插入Javascript偽代碼執行javascript命令
<a href="javascript:alert(1);">aaa</a>
構造一個鏈接標簽，點擊即可執行彈窗
5.當輸入長度被限制時，可以使用拆分法構造xss的payload
