前言 最近一直在看国外的赏金平台，绕waf是真的难受,记录一下绕过的场景。 初步测试 一开始尝试XSS，发现用户的输入在title中展示，那么一般来说就是看能否闭合，我们从下面图中可以看到，输入尖括号后被转成了实体。 绕过html实体编码 解释一下什么是html实体编码 HTML实体编码，也即HTML中的转义字符。 在HTML中，某些字符是预留的，例如在HTML中不能使用小于号<和大于号>，这是因为浏览器会误认为它们是标签。如果希望正确地显示预留字符，我们必须在HTML源代码中使用字符实体（characterentities）。HTML中的常用字符实体是不间断空格。（注意：实体名...