原文：http://weibo.com/1627825392/zbNEZjcL9#1356666273719
看到这个文章，很多人还在那里说好，很有技术含量.很牛B， 这个人不去360，必定会犯罪怎么样怎么样， 我只想说 这个货特么的就是一个装B货， 喜欢显摆技术，一个真正搞渗透测试的人不可能把写个文章还不打码， 这个文章毫无技术含量。只能忽悠外行人，做过开发 看过js代码， 搞安全的人， 那个不知道xss.只能说中国媒体就知道扩大其词。其次他们学校系统很脆弱。
文中他写的xss代码。
插入一张正常的img图片。 get请求一次http://a.xnimg.cn域名下面的gif图片。添加了一个odload事件 图片加载完成之后触发事件， 声明一个s的变量创建一个dom节点其元素是script 将创建的s元素加入到BODY的尾部， 这个节点的请求的路径是http:/www.heyrpgers.com下面的js脚本 js脚本里面的内容就是 document.cookie 虽然没有写出js内容 想也能想到 js获取cookie 之后把cookie发送到执行的地方就OK.
顺序：添加了一个img的图片 图片里向body体添加了一个script节点 这个节点请求地址是一个js代码。js获取cookie 把cookie发送到指定的地方。
分析完毕。
防御办法：使用httponly 或者输入过滤 输出编码。
