发送邮件时，使用fiddler拦截修改邮件正文内容为
aaaaaaaaaaaa<script defer="defer">alert(/xss by cc/);</sc<iframe>ript>
提交后，过滤器会去掉<iframe>使</sc<iframe>ript>变成</script>
这边有个小细节，www.xuhantao.com，就是script中的defer="defer"属性。
至于这个属性的详细介绍，请看
但是美中不足的是，这个标签只对ie有效果。
触发图片
服务器返回的json数据：
修复方案：
还是。。。加强过滤。
作者 insight-labs
