XSS

Delam šolsko nalogo na temo varnosti - cross site scripting. Kolikor gledam po internetu primere, vidim, da jih večina vbrizga payload preko url, ki ga bi naj kliknila žrtev. Ampak kolikor testiram to v browserjih (razen IE) ni mogoče saj se

'<' in '>'

znotraj URL vrstice takoj pretvorita v '%3C' in '%3E'. HTML se posledično ne more izvesti.
Vem, da še obstajajo druge metode, ampak te (reflected XSS) znotraj npr. Chromea ne morem izvesti:

localhost/?bb=<svg/onload=location='javascript:alert(1)'>

Ena rešitev je sicer POST request ampak me zanima če se da zadevo izvesti direktno preko klika na url.

Pa res... Ne vem zakaj mi je sprva prikazovalo % znake na mesto "izrisanih" elementov.
Hvala :)

EDIT: Zdaj bo še pa treba prelisičit Chrome XSS Auditor :p