一.编码绕过
1）HTML进制编码
标签中的某些属性值可以使用html十进制、十六进制表示
2）JavaScript编码
JavaScript支持unicode、八进制、十六进制、十进制等
3）URL编码
4）base64编码
三，实战qcms和Catfish(鲶鱼)CMS
（1）qcms
大体游览一遍网站发现只有留言处有输入，可能纯在xss，
完全没有过滤，还是存储型xss
（2）Catfish(鲶鱼)CMS-4.7.21
发现过滤尖括号，双引号，听老师知道这是前端过滤，用burpsuit即可绕过
