本文目录一览：
在input的标签里怎么绕过xss双引号的编码过滤
哥们，要是让你绕过去了，黑客也就绕过去了。不要想着从前台骗过过滤器，如果系统设置非常严格，所有从前台设置的输入信息都会被xss过滤器过滤，一般是把特殊字符删除或者转译(比如大于号小于号双引号斜杠等)，避免用户通过非法手段存储注入代码，但是一般的web系统，都不会在显示的时候重新转码，所以，如果你可以直接访问数据库，则可以讲特殊字符的代码直接写到数据库里，页面就会直接显示了。
XSS 攻击时怎么绕过 htmlspecialchars 函数
绕不过。
所谓绕过就是挑程序员忘记正确转码的地方下手。
注意并非htmlspecialchars就万事大吉，不同的地方需要不同的转码。所以所谓绕过htmlspecialchars也可能指那个漏洞点用htmlspecialchars转码压根不正确。
Xss Bypass
0、
payload：
1、
正则会处理尖括号和尖括号中的内容，将其替换成空！
bypass： 使用双半开括号""绕过:
payload：
2、
处理了等号和左括号!
bypass： 使用反引号代替括号，在通过编码解决
payload：
scriptsetTimeout prompt\u00281\u0029 ;/script
3、
输出的内容在注释中，且对-做了替换处理！
bypass： html可以–或–!闭合注释
payload：
4、