在网页中的Textbox或者其他能输入数据的地方,输入这些测试脚本, 看能不能弹出对话框,能弹出的话说明存在XSS漏洞
  在URL中查看有那些变量通过URL把值传给Web服务器, 把这些变量的值退换成我们的测试的脚本。  然后看我们的脚本是否能执行
  方法三:  自动化测试XSS漏洞
  现在已经有很多XSS扫描工具了。 实现XSS自动化测试非常简单,只需要用HttpWebRequest类。 把包含xss 测试脚本。发送给Web服务器。 然后查看HttpWebResponse中,我们的XSS测试脚本是否已经注入进去了。
  HTML Encode 和URL Encode的区别
  刚开始我老是把这两个东西搞混淆, 其实这是两个不同的东西。
  HTML编码前面已经介绍过了,关于URL 编码是为了符合url的规范。因为在标准的url规范中中文和很多的字符是不允许出现在url中的。
  例如在baidu中搜索"测试汉字"。 URL会变成
  http://www.baidu.com/s?wd=%B2%E2%CA%D4%BA%BA%D7%D6&rsv_bp=0&rsv_spt=3&inputT=7477
  所谓URL编码是: 把所有非字母数字字符都将被替换成百分号(%)后跟两位十六进制数,空格则编码为加号(+)
  在C#中已经提供了现成的方法,只要调用HttpUtility.UrlEncode("string <scritp>") 可以了。  (需要引用System.Web程序集)
  Fiddler中也提供了很方便的工具, 点击Toolbar上的"TextWizard" 按钮
  浏览器中的XSS过滤器
  为了防止发生XSS, 很多浏览器厂商都在浏览器中加入安全机制来过滤XSS。 例如IE8,IE9,Firefox, Chrome. 都有针对XSS的安全机制。 浏览器会阻止XSS。 例如下图

  如果需要做测试, 好使用IE7。
  ASP.NET中的XSS安全机制
  ASP.NET中有防范XSS的机制,对提交的表单会自动检查是否存在XSS,当用户试图输入XSS代码的时候,ASP.NET会抛出一个错误如下图

  很多程序员对安全没有概念, 甚至不知道有XSS的存在。 ASP.NET在这一点上做到默认安全。 这样的话算是没有安全意识的程序员也能写出一个”较安全的网站“。
  如果想禁止这个安全特性, 可以通过 <%@  Page  validateRequest=“false"  %>