昨晚凌晨两点，洞检我盯着Burp Suite的洞检Repeater标签页，把一段payload贴进搜索框，洞检回车。洞检响应里弹出一个alert框，洞检屏幕上跳出“1”。洞检这感觉就像在黑暗的洞检房间里摸到了一根电线，你知道它带电，洞检但不知道它连向哪里。洞检

XSS漏洞检测，洞检说白了就是洞检找那个能让你注入脚本的“缝隙”。不是洞检所有输入框都值得测，也不是洞检所有反射点都能利用。你得先看参数怎么流转，洞检编码怎么处理，洞检输出在哪落地。一个搜索框，如果直接把用户输入拼进HTML而不转义，那基本就是敞开的门。

我常用的检测思路分三步走。第一步，扔一个无害的探测串，比如``，但别指望它直接弹窗——现代浏览器多半会拦。真正有用的是观察响应里这个串怎么被处理，是原样回显，还是被转义成了`<script>`，或者被截断。第二步，换编码姿势，用``这种事件型payload，或者试试`">

有一次测一个内部系统，登录后的用户名显示在页面右上角。我提交`test" autofocus onfocus="alert(document.domain)`，结果直接拿到了管理员的cookie。问题出在后端只过滤了`