做网站的难题/百度 站长工具

 

<script>alert('xss')</script>

用基本的语句尝试，行不通

 

两个地方都被过滤了， < > / 都被htmlspecialchars()函数转义成了html形式，无法使用标签。

但是 ' 没有被转义（关于符号是否会被转义，可以尝试）

(72条消息) JavaScript中的onmouseover事件和onmouseout事件实例_平凡的平淡的博客-CSDN博客_onmouseover

构造代码

' onmouseover=javascript:alert(1) '

' onclick='alert(1)

这个也可以

 但要点击一下输入框