前面第一篇：http://www.2cto.com/Article/201205/131109.html 是xss基础。现在看看xss实战：

第一个：拿www.b2b.cn做测试。

• 用标注字符测试，搜索"/<'即可，看网页里有无所搜索字的显示，即回显。
• 有则再看网页源码，这些会显示以实体字符还是以原样存在的。实体字符就是&#十六进制形式的。
  如果不是实体就可以XSS了。
• 搜“/<',http://search.b2b.cn/product/?k=%22%2f%3c%27结果显示:
  
   

   
  
  看到标题也有回显，有戏，看源码：发现不是实体字符，有XSS！
  
   

   
  
  同时构造，一个简单的"</title>,http://search.b2b.cn/product/?k=%22%3C/title%3E搜索出乱码：
  
   

   
  
  直接上代码www.2cto.com <script>alert('RC')</script>,http://search.b2b.cn/product/?k=%3cscript%3ealert(%27RC%27)%3c%2fscript%3e
  
   

   
• 至此，此站的xss测试结束。
• 注1：alert()只是演示，实战时可以用window.open()等。
• 注2：如上的xss是非持久性xss，即构造的数据不会进入服务端的数据库，本地一次性的，但这足够严重，像把b2b这种大站，很容易本人利用连接挂马，获得cookies等

作者 random_ 来自天马行空论坛