背景
有人问了个问题：这个不是XSS反射型漏洞？为什么？
然后他发了个录屏给我看。
录屏主要内容是下面这样的：
正常在网站搜索什么，search接口就会返回搜索到的数据列表。
比如在网站中搜索"xss"，search接口就返回几条xss相关的数据。
他是这样做的：
他在网站中输入了"xss"，然后通过fiddler工具，把这个search接口的响应内容改了。
比如在其中的一条数据，嵌入了XSS攻击代码。
比如下面的代码：
<img src='x' onerror='alert(/ice/);'/>
然后他看到网站弹窗了，就觉得自己成功的找到了XSS漏洞，而且是反射型漏洞。
我说：其实，这个不是XSS反射型漏洞。
详情： https://mp.weixin.qq.com/s?__biz=Mzg5Mjc2NDYwMg==&mid=2247484387&idx=1&sn=d0b0e090f9dbcc46c7512a79e1b42f7c&chksm=c0386b36f74fe220d8ab1ef3e6e45e317862d077f1ef53e8ead37000f8b5a71d9414a4b8267b&token=964908917&lang=zh_CN#rd
有问题可群咨询：
https://public-1253796280.cos.ap-nanjing.myqcloud.com/%E5%89%8D%E7%AB%AF%E6%8A%80%E6%9C%AF%E4%BA%A4%E6%B5%81%E7%BE%A4.png
