1.懒得废话了，直接看源码
2.发现是对输出做了过滤，<script 和 on 会被插个下划线在中间，由于使用了strtolower()函数把所有字母转为小写，所以没法大小写绕过，但是javascript没有被限制，所以我们可以利用javascript伪协议把 javascript恶意代码植入到新建的一个标签内。比如a标签：
"><a href=javascript:alert('XSS')>click here !</a>使用不同的标签可以实现不同的功能，比如我这里的a标签是生成一个超链接
当点击蓝色字体(超链接)时，会执行我们的恶意代码，如果是个url会直接跳转到url地址的位置。
[…] xss-labs level 5 […]
1
1