一、引言今天继续刷 Bugku遇到一道叫“滑稽”的题。我一看见这个标题我啪一下就点进来了虽然大多题库题都不会做启动场景之后 满屏的表情包向我冲来此处忘记截图了而且页面上什么也点击不了二、解题鼠标虽然被禁止了还有快捷键可以用页面很混乱那就看看源代码吧……按CtrlU页面源代码直接在新标签页里打开了。在源代码里往下翻找到被!--和--包裹的注释部分看到类似这样一段#102;#108;#97;#103;#123;#55;#97;#49;#101;#97;#102;#52;#48;#53;#49;#102;#100;#99;#51;#56;#98;#98;#50;#56;#56;#52;#99;#52;#101;#100;#51;#99;#49;#49;#54;#100;#99;#125;PS一般来讲作为教学和练习的题目注释都不会凭空莫名其妙的出现。PS这串#数字;格式的东西是 HTML 实体编码也叫 Unicode 十进制编码其实就是正确的flag直接写出来实在是太明显了所以拿到编码后我们要解码。解码方法用浏览器控制台解码按F12打开开发者工具。切换到Console控制台面板。输入以下代码let encoded #102;#108;#97;#103;#123;#55;#97;#49;#101;#97;#102;#52;#48;#53;#49;#102;#100;#99;#51;#56;#98;#98;#50;#56;#56;#52;#99;#52;#101;#100;#51;#99;#49;#49;#54;#100;#99;#125;;let decoded new DOMParser().parseFromString(encoded, text/html).documentElement.textContent;console.log(decoded);4.按回车执行控制台就会输出解码后的 flag。PS:DOMParser是浏览器内置的 HTML 解析器它会自动把#数字格式的编码转成对应的字符和我们平时浏览网页时浏览器自动处理这些编码的原理是一样的。三、补充关于查看源代码 vs 检查元素对比项查看源代码CtrlU检查元素F12 → Elements看到的是什么服务器返回的原始 HTML文件浏览器解析/渲染后的当前页面结构是否包含动态内容不包含纯静态包含实时反映页面状态是否受 JavaScript 影响不受影响受 JS 动态修改的影响能否修改并实时生效不能纯文本可以页面实时变化综上一个是源文件一个是真实反应的页面代码。这道题编码藏在 HTML 注释里两种方式都能看到所以用 CtrlU 就够了。但如果是 JS 动态生成的 flag就需要去检查元素里找了。四、结语最近刚开始学习还有很多不足和问题这篇文章作为一次记录希望能对看到它的朋友有一点帮助欢迎大家指正提出建议感谢感谢