一般的攻擊就是寫一段腳本看是否能執行，就能判斷是否是攻擊了，比如說我寫<script> alert("執行了我了哦！！！"); </script>，然後看看當頁面加載的時候是否能執行，就行了。目前為止一般的網站這段代碼都不會執行，但是換一種方式呢？
比如<SCRIPT>alert(String.fromCharCode(88,83,83))</SCRIPT>，估計也米有幾個網站執行吧，大家都知道的。
下面看更猥瑣的測試例子， '';!--"<XSS>=&{()} ，這個是測試是否會有xxs好例子，再試一下看看有幾個網站能抗的住，下面是我隨便寫的一個例子，然後測試幾個網站看看，
源碼：'';!--";eval('alert(\'我操你大爺什麼情況！\')');"<X<alert(1234)>SS>=&{()} ,然後試一下上截圖（沒有惡意只是測試！）：
http://search.360buy.com/Search?book=y&keyword=1