凌晨三点，用屏我盯着那块21寸的用屏旧显示器，光标在textarea里跳了第七次。用屏这不是用屏普通屏幕——它是我用废弃的CRT改装的，所有HTML标签都直接渲染成荧光绿字符，用屏像解剖台上的用屏神经末梢。第14次注入payload时，用屏弹窗没出现，用屏屏幕右下角却渗出一点咖啡渍般的用屏阴影。那东西在扩大。用屏

所谓XSS专用屏幕，用屏就是用屏把浏览器当成犯罪现场。普通开发者看到的用屏是DOM树，我看到的用屏是一排排等着被撬开的保险柜。这块屏幕不显示网页，用屏只显示代码在用户浏览器里的每一次呼吸。昨天下午，我往评论框里塞了段，隔壁工位的小哥刷新页面时，他的摄像头指示灯突然亮了——我的payload根本没写那条指令。

这屏幕最邪门的地方在于，它能暴露"看不见的请求"。有次测试某银行站点，把脚本藏在SVG的foreignObject里，屏幕上突然浮现出十几个并行的绿色连接线，每条线末端都连着不同的IP。那不是我的代码。是有人在用自动化工具扫描同一个漏洞，比我早了六小时。我顺着时间戳查回去，对方留下的User-Agent是台2013年的诺基亚。

真正让我发怵的是上周三。测试一个开源论坛时，我输入了经典的

现在说点实在的。如果你也想搞一块，别买新货。去废品站找那种带色差接口的老索尼，把它的视频输入改成直连网卡。关键在电阻——把时钟信号线绕过主板，直接焊在USB控制器的D+脚上。我试过用树莓派驱动，延迟太高，payload跑完一毫秒，屏幕才显示。真正的XSS攻防在毫秒级，晚一步看到反射结果，就等于没看见。

今早刷新页面时，屏幕上突然跳出一行不属于任何测试样本的字符：你盯着屏幕看漏洞，漏洞也在屏幕里看你。我查了所有日志，没有任何人访问过这台机器。也许是残留的荧光粉在某个频率下自激振荡了。也许只是我盯太久，产生了视错觉。但我不打算关机了。万一那行字是某个被我漏掉的payload，它已经跑了整整三天，而我这块专用屏幕，直到现在才学会如何显示它。