第一关前端F12查看代码：这里只能看到参数test输出在h2里面，可以尝试直接构造payload：<script>alert(/xss/)</script>成功！后台关键源码：<?phpini_set("display_errors", 0);$str = $_GET["name"];echo "<h2 align=center>欢迎用户".$str."&

第十关先用<script>alert(xss)</script>试试这里发现一个隐藏的form表单，里面有3个隐藏的变量：t_link、t_history、t_sort。把三个参数都传进去试试看：http://192.168.121.129/xss/level10.php?keyword=well done!&t_link=1&t_history=2&amp