【问题标题】：How to Unescape HTML in XSS Simulation如何在 XSS 模拟中对 HTML 进行转义
【发布时间】：2019-09-23 06:08:19
【问题描述】：

在我自己的 Web 应用程序中，我正在尝试执行 XSS 攻击作为演示的一部分。我尝试通过将一些 HTML（例如

Click here

）提交到发布提交内容的表单来做到这一点，但是当我提交表单时，发布的内容实际上是：

Click here H1>。如果 HTML 没有转义，它会以大字体显示“单击此处”。当我查看页面源时，它显示：

HTML如何在发布时不转义？

【问题讨论】：

标签： html xss

【解决方案1】：

var str = '<h1>Click Here</h1>'
var newStr = unescape(str)

将此 newStr 附加到 html

【讨论】：