https://hu60.cn/q.php/link.url.html?url64=amF2YVNjDXJpcHQ6YWxlcnQoMTMzNyk=
在跳转页面中，url64为base64编码后的url，老虎对url中以javascript开头的字符串进行了处理，对javascript字符串进行了删除，包含了大小写，但是由于处理不严谨，可使用换行符0x0a进行绕过。
即生成后的链接：
<a href="java
script:alert(1337)">click me</a>
用户点击之后即能触发XSS
@小杨，已修复。