参考链接
这里利用了一个不算漏洞的漏洞：
浏览器在解析URL的时候默认丢掉
@
前面的所有东西。
比如
https://[email protected]/shenjuxian
不注意看的话会以为是百度的，其实跳转到了另一个网站，如果黑客在后面网站上挂马的话很容易就中招啦。
这里两个网址，看起来花里胡哨的，那如果后面跟一个ip呢：
https://[email protected]
看起来就稍微不那么显眼啦
ip中的点还是很难受，那就将它变为纯数字，计算方式如下：
111*256^3 + 229*256^2 + 229*256 + 111
然后得到
1877337455
然后构造url：
https://www.baidu.com@1877337455
骚操作又学到了，大佬们太强了，这都能用起来。