针对xss漏洞 基础的语言测试用的语句还是要基本的了解，不然你都不会测试！
实战策略 “ 见框就插、改数据包不可见部分、改URL参数、js分析（百度吧） ”
实验参照freebuf-xss实战详解，本文为实战分析：
链接记录：
http://www.freebuf.com/articles/web/40520.html
学习任何一种依靠交互式的攻击，先尝试输入对应的编程语言关键词是第一步：
就像sql注入输入了and、union 这里我就先试试,
LOW
看到一个不知他是干嘛的框时，输入个 1 还是不会出现问题的
输入个 1 发现就是返回个 hello 1 ；现在知道存在反馈机制
那么来点侵略性的 <script> 发现什么都没输出 两种可能 1.过滤了 2.可能是内部的语言，导致他不知道输出什么。现在则需要我们构造一些有特殊反馈的语句
输入个<script>alert（"fuck"）</script>；有些发现，语句被执行执行了
这么基础的语言都没有过滤，那么接下来就是javascript 语言表演时间！
xss语句福利：http://www.cnblogs.com/dsky/archive/2012/04/06/2434768.html
'><script>alert(document.cookie)</script>在文档中发现这么一句，猜测xss的防范应该与sql注入有异曲同工之妙，那绕过也就存在可能。
MEDIUM
输入个 <script> 发现依旧没有反馈 证明不是过滤就是内部语句
尝试刚才的语言，结果GG
结果明显<script></script> 两兄弟没作用了，根据sql注入猜测变换大小写
输入<Script>alert("fuck")</script> Victory
接下来又是javascript表演时间
