第九关，HTML实体编码 + 白名单包含检测绕过

查看level9.php

第九关在第八关的基础上，加上了http协议检测，如果传递过来的URL没有http://，就会直接输出“您的链接不合法”

但是这种检测，只是简单检测字符串中是否存在http://，并没有强制必须以http://开头。

由于第八关的代码依然存在，所以我们的payload还是要用HTML实体编码进行绕过

tips：第九关传递过去的payload也是在超链接的href属性下。

结尾可以用//（JavaScript的单行注释），把后面的http://注释掉，这样就能绕过后端的检测。

构造payload

javascript:alert()//http://

记得点击超链接