本文目录一览：
- 1、为什么信息安全这样的行业会有很多高中生都能做的比大部分受过高等教育的大学生强？
- 2、xss注入漏洞产生的原因？xss注入过程步骤是什么？防范xss注入的方法有哪些
- 3、在input的标签里怎么绕过xss双引号的编码过滤
- 4、如何解决繁琐的WEB前端的XSS问题
- 5、在PHP的CI框架中，kindeditor自动过滤尖括号，怎么办？
- 6、xss攻击时怎么绕过 htmlspecialchars函数
为什么信息安全这样的行业会有很多高中生都能做的比大部分受过高等教育的大学生强？
为什么信息安全领域经常有高中生曝光？
高中生中确实有对安全有深厚兴趣并在某一方面取得成就的，但这类消息中绝大部分并没想象中的那样NB。不少“高中生高手”都是在习得基本攻击技术之后，尝试各种网站，最终终于碰到一个能拿下的了，不知深浅地改了主页，由此出名。此类人可以算是“脚本小子”，碰到一个算一个，运气好点，胆大点，就能成为人们眼中的高手。
再退一步讲，安全又是个攻防不对等的领域——几十块钱的锁，几分钱的铁丝就能打开；在拥有相关技术的前提下，破解一款软件的成本往往低于开发这款软件（想想那些盗版软件吧）。这就使得安全领域相比其他领域，更容易出现短时间获得某一方面专精的技能，这样的技能既容易过时，又无法系统性地解决问题，想要成为专家，依然需要更深厚的知识基础（详见第三节）。
信息安全专业的大学生都干嘛去了？
和其他专业的学生一样，很多人进入信息安全专业都是因为高考报志愿时一知半解的选择。最后招进来的都是对安全不感兴趣甚至对计算机都不感兴趣的学生；那些从小搞黑的少年，高中NB之后大学就考不上啦（开玩笑）。
请再看看上面那张截图的本学院课程，除了xx安全原理这种背书课之外，有多少是和信息安全相关的？完全就是CS+EE的课程嘛！人家软件学院还学如何溢出，怎么编写不被溢出的程序，我们专业一半的人都讲不出溢出的基本原理是啥！（唉说多了都是泪）
由于专业敏感性，以及国内高校重教学、轻实践的问题，完全没有攻防相关的课程。我们是不培养黑客，但你连黑客攻击手段都不知道，怎么防御呢？？？
于是90%的学生和计算机专业的学生做一样的事，找一样的工作。（唉答主已经转职成纯码农了……）
另外有10%的少年，则在这样的艰苦环境下，自学成才，成为我国信息安全领域的希望……（请看下一节）
“大学生级别”的信息安全都搞啥？
在信息安全领域，黑客啊攻击啊其实并非核心。核心是各类系统原理（操作系统、网络）、密码学（对称、非对称加密原理及其背后的数学理论）、各类安全架构（PKI、身份认证协议）等。这些都要有人做，研究生干的就是这些，以安全之名，做系统之实。（著名的GFW算是“非黑客信息安全”的代表，说白了，就是监听流量，代发RST包嘛，放到计算机系也是能做出来的）
上述领域才算全面的信息安全行业，这些事情高中生就做不了了，大学生做了，也没人关心= =。
在狭义信息安全领域，那些10%的有兴趣、有技术的少年，还是有一些发挥空间的，但也需要比高中生更多的知识基础。
比如进行XSS攻击，业余级水平是发现一网站尖括号没转义，放个alert就证明了。专业级面对的，可能是一个防范严密的网站，可能要了解引擎解析原理，甚至要看浏览器源代码，从底层hack——都是XSS，能一样么？
狭义信息安全领域的代表，公开的有ctf比赛。达到这种水平的少年，不乱搞，做事低调，日后有望成为职业安全人员；除了比赛获奖、上报漏洞，很少见闻这些人黑掉啥啥啥。结果呢，又没人知道他们厉害了……
总之大学生及以上群体中，信息安全领域高手大有人在，只是不以“高中生黑网站”的方式出现而已。
xss注入漏洞产生的原因？xss注入过程步骤是什么？防范xss注入的方法有哪些
对于的用户输入中出现XSS漏洞的问题，主要是由于开发人员对XSS了解不足，安全的意识不够造成的。现在让我们来普及一下XSS的一些常识，以后在开发的时候，每当有用户输入的内容时，都要加倍小心。请记住两条原则：过滤输入和转义输出。
一、什么是XSS
XSS又叫CSS (Cross Site Script) ，跨站脚本攻击。它指的是恶意攻击者往Web页面里插入恶意html代码，当用户浏览该页之时，嵌入其中Web里面的html代码会被执行，从而达到恶意的特殊目的。XSS属于被动式的攻击，因为其被动且不好利用，所以许多人常呼略其危害性。
在WEB2.0时代，强调的是互动，使得用户输入信息的机会大增，在这个情况下，我们作为开发者，在开发的时候，要提高警惕。
二、XSS攻击的主要途径
XSS攻击方法只是利用HTML的属性，作各种的尝试，找出注入的方法。现在对三种主要方式进行分析。
第一种：对普通的用户输入，页面原样内容输出。
打开(限公司IP)，输 入：scriptalert(‘xss’)/script， JS脚本顺利执行。当攻击者找到这种方法后，就可以传播这种链接格式的链接 （）如：http: //go.ent.163.com/goproducttest/test.jsp?key=scriptalert(‘xss’) lt;/script，并对JSCODE做适当伪装，如：
%74%3e%61%6c%65%72%74%28%27%78%73%73%27%29%3c%2f%73%63%72%69%70%74%3e,当其 它用户当点此链接的时候，JS就运行了，造成的后果会很严重，如跳去一个有木马的页面、取得登陆用户的COOKIE等。
第二种：在代码区里有用户输入的内容
原则就是，代码区中，绝对不应含有用户输入的东西。
第三种：允许用户输入HTML标签的页面。
用户可以提交一些自定义的HTML代码，这种情况是最危险的。因为，IE浏览器默认采用的是UNICODE编码，HTML编码可以用ASCII方式来写，又可以使用”/”连接16进制字符串来写，使得过滤变得异常复杂，如下面的四个例子，都可以在IE中运行。
1，直接使用JS脚本。
img src=”javascript:alert(‘xss’)” /
2，对JS脚本进行转码。
img src=”javascript:alert(‘xss’)” /
3，利用标签的触发条件插入代码并进行转码。
img onerror=”alert(‘xss’)” /
4，使用16进制来写(可以在傲游中运行)
img STYLE=”background-image: /75/72/6c/28/6a/61/76/61/73/63/72/69/70/74/3a/61/6c/65/72/74/28/27/58/53/53/27/29/29″
以上写法等于img STYLE=”background-image: url(javascript:alert(‘XSS’))”
三、XSS攻击解决办法
请记住两条原则：过滤输入和转义输出。
具体执行的方式有以下几点：
第一、在输入方面对所有用户提交内容进行可靠的输入验证，提交内容包括URL、查询关键字、http头、post数据等
第二、在输出方面，在用户输内容中使用XMP标签。标签内的内容不会解释，直接显示。
第三、严格执行字符输入字数控制。
四、在脚本执行区中，应绝无用户输入。
在input的标签里怎么绕过xss双引号的编码过滤
哥们，要是让你绕过去了，黑客也就绕过去了。不要想着从前台骗过过滤器，如果系统设置非常严格，所有从前台设置的输入信息都会被xss过滤器过滤，一般是把特殊字符删除或者转译(比如大于号小于号双引号斜杠等)，避免用户通过非法手段存储注入代码，但是一般的web系统，都不会在显示的时候重新转码，所以，如果你可以直接访问数据库，则可以讲特殊字符的代码直接写到数据库里，页面就会直接显示了。
如何解决繁琐的WEB前端的XSS问题
后台做一层过滤，前台文本编辑器可以自己做一层标签过滤，不允许一些符号的输入就行了
xss攻击前端能做的有限
因为好多都是url转码来通过参数找漏洞，所以后台也要做一层过滤（例如nodejs的sql库就只允许单行sql，防止通过xss做注入）java之类的有现成多xss过滤器
剩下的就做ip黑名单吧，防止多次攻击
在PHP的CI框架中，kindeditor自动过滤尖括号，怎么办？
你看看application/config/config.php 文件启用了 XSS 过滤
$config['global_xss_filtering'] = TRUE;
或者您 $this-input-post( 'c', TRUE );
都会自动过滤一些特殊附号的。
xss攻击时怎么绕过 htmlspecialchars函数
绕不过。
所谓绕过就是挑程序员忘记正确转码的地方下手。
注意并非htmlspecialchars就万事大吉，不同的地方需要不同的转码。所以所谓绕过htmlspecialchars也可能指那个漏洞点用htmlspecialchars转码压根不正确。