懒得起名了了
首先看一个JS的例子：
<script>
var s = "<>";
alert(s);
</script>运行这段代码，结果显示如下：
看到这么熟悉的尖括号，大家会不会有一些兴奋的感觉呢？JS代码中并没有出现尖括号，可是运行时却输出了尖括号！！！这意味着：可以通过<和>来代替<和>。可是该如何利用这个特性来构造XSS攻击呢？继续看一个例子：
<div id='s'>
test
</div>
<script>
var s = "
在没有尖括号的情况下，成功实现了一个弹框的案例。
现在来设想一个更贴近实际开发情况的例子：
（1）假设某站的首页：http://www.xxxx.com /main.html，其代码为：
<div id="test">
aa
</div>
<script>
function callback(obj)
{
document.getElementById("test").innerHTML = obj.name;
}
</script>
<script src=" http://www.victim.com/getcontent"></script>（2）http://www.victim.com/getcontent返回的内容格式如下：
callback({"name":"xx"}); 其中name的值是用户的昵称。
这个例子简单模拟了异步拉取信息并进行显示的情况。
现在假设用户的昵称为：
