本文目录一览：
发现XSS漏洞的一般做法有哪些？
关于发现时间，要具体到是检测什么目标了。找google的，和找腾讯的时间肯定不会一样。 至于“你们一般都是如何发现xss漏洞的？” 不同类型的XSS漏洞，可能不尽相同。
1.对于反射型XSS以及一些DOM XSS，一般建议是开发一些自动化的扫描工具进行扫描，并辅以手工分析。 另外一方面，搜索引擎也是快速寻找具有缺陷参数的好办法。
2.对于存储型XSS，
1) 对于单纯的输入-存储-输出点 的情况 （输入与输出点关系：一个地方输入，会有多个地方输出；不同地方输入，同一地方输出。绕了点 T T ...）。常规测试是正向直接输入内容，然后在输出点查看是否未过滤，当然你也可以先大胆假设输出点未过滤，反向寻找在何处进行输入，进而测试。
2）对于富文本，则需要对过滤器进行fuzz测试（人脑+自动化）了，正好乌云drops上有乌乌发了一篇：fuzzing XSS filter
3）第三类，就是一些WEB应用中所出现的DOM-存储型XSS，即输出点的无害内容，会经过js的一些dom操作变得危险（本质上和 第1点里的dom xss成因是一样的）。这一类的挖掘方法，个人觉得不太好总结。 其一，需要熟悉WEB应用的功能，其二，知道功能所对应的JS代码有哪些，其三，凭直觉猜测程序员会在哪些功能出现可能导致XSS的过滤遗忘或过滤错误（直觉是唬人的，其实就是你知道某些功能会需要某些代码实现，而这些代码常常容易出错），其四，需要有较好的代码阅读跟踪能力（JS一大坨。。还是蛮难读的.... 有些代码被混淆过，十分不易阅读，就会涉及到如何下断点进行调试的小技巧）。 我想，挖掘这一类的前提可能是需要有不错的前端开发经验，写多了，才会有足够的嗅觉。
其实吧，有时候专门去找漏洞会很累的，大什么怡情，小什么伤身，因此，我们还不如开心的敲敲代码，听听歌，静待生命中那些意外的收获。 这些收获经常来自身边的人发给你的一些事物。
最后，不论如何，基础很重要吧，内力不足，招式再多也没用，反之，草木竹石皆可为剑。
用了富文本，怎么避免xss攻击
后台过滤就可以了。例如script ，input 标签直接replace掉 ，onclick. onxxx 之类也replace掉。只允许图文的html标记和样式存在。
jsp 存储文本编辑器内容到mysql 数据库怎么存
首先，数据库不管你存入什么字符，他都不会拒绝，你用jsp存储特殊字符失败，应该是java的某种机制，不让你存储，肯定不是数据库，或者你把数据库字段类型设置成text型，可能是字符超过字段长度限制的问题。
其次，java字符集，建议前后台和数据库都用utf-8
最后，文本编辑器里，可能存在xss注入漏洞的代码，需要你在存入数据库前进行转义，网上有现成的转义方法，自己查一下xssfilter。务必重视xss漏洞，尤其是系统中，带有富文本编辑功能的系统，很容易被xss攻击。
富文本编辑器怎么做到防注入
只适合在小应用中，并且处理范围非常有限，简单一点就是过滤／转义，在这我就不多说了，其实方法是非常多。我今天主要讲关于架构方面的知识：你google一下，了解下 WAF(Web应用防火墙)，主要有两方面的：
软件角度的（推荐）：基于nginx的Web应用防火墙／百度的加速了／创新工厂的安全宝......
硬件角度的（不推荐）：NGAF
WAF可处理常见的Web安全有：XSS／SQL注入／跨站脚本／shell注入／会话劫持.....
在软件角度，git上面有不少这方面的开源项目，比如：
还有一些付费的云服务：安全宝／加速了......,可以了解下，确实很有意思，并不是简单的过滤转义。
个人认为：这本身属于网站架构方面的内容，是个全局的控制＝＝输入／输出过滤，这要后台和前台保持一致就可以了。
