首先我们要测试一下是否存在xss漏洞，可以先输入特殊字符
'"<>6666
看看是否会被过滤掉
可以看到我们输入的是什么 网站就给我们返回什么，并没有做一些输出转义的处理
接着我们去查看一下网页的源码
查找6666 查找输入点
可以看到我们输入的6666 出现在html的P标签里面 p 就是print
试想如果我们输入正确的javascript 的脚本是否也会直接得到我们想要的非法数据
这里我们尝试输入 一个弹窗
<script>alert('xss')</script>
这里有个小细节，输入框有字符数限制本来是20 ，我们可以手动修改一下为200
可以看到我们返回了我们要的弹窗
反射型 我们输入的是什么 发送到服务器 服务器直接返回到前端也是什么 服务器端并没有进行存储和处理
查看前端代码
因为这是反射型，那么我们重新点进去 ， 这段前端代码就没有了
<script>alert('xss')</script>
对比
漏洞问题的形成，冲源代码里可以看到就是没有对输出进行转义的操作，直接一个判断是不是输入的是否为kobe，不是就返回输入的内容
而且这是个get请求，会把我们输入的内容 只是通过简单的url编码进行转义然后发送到服务器。属于比较好利用的漏洞 http://192.168.31.33/pikachu/vul/xss/xss_reflected_get.php?message=%3Cscript%3Ealert%28%27xss%27%29%3C%2Fscript%3E&submit=submit
漏洞使用说明： 比如我们发现了一个网站存在xss请求，当然不是简单的可以弹窗这么简单，而是具有可修改数据性质的 javascript代码 黑客把链接接着发送给 其他陌生人， 其他人看到这个域名是个正确的域名或许就没有多想就会点进去，这时就会造成自己的东西直接被修改了，或者可以是获取了客户的cookie 或者把链接转发到钓鱼网站。诱导用户在钓鱼网站输入自己的账号密码
