參考連結
這裡利用了一個不算漏洞的漏洞：
浏覽器在解析URL的時候預設丢掉
@
前面的所有東西。
比如
https://[email protected]/shenjuxian
不注意看的話會以為是百度的，其實跳轉到了另一個網站，如果黑客在後面網站上挂馬的話很容易就中招啦。
這裡兩個網址，看起來花裡胡哨的，那如果後面跟一個ip呢：
https://[email protected]
看起來就稍微不那麼顯眼啦
ip中的點還是很難受，那就将它變為純數字，計算方式如下：
111*256^3 + 229*256^2 + 229*256 + 111
然後得到
1877337455
然後構造url：
https://www.baidu.com@1877337455
騷操作又學到了，大佬們太強了，這都能用起來。