本文目录一览：
- 1、include包含头文件的语句中,双引号和尖括号的区别是什么?
- 2、在input的标签里怎么绕过xss双引号的编码过滤
- 3、有什么 绕过 htmlentities 进行 xss 攻击的方法吗
- 4、#include中用双引号括起来和用尖括号时它们有何区别
- 5、如何正确防御xss攻击
- 6、asp 求修复方法 XSS跨站脚本漏洞
include包含头文件的语句中,双引号和尖括号的区别是什么?
双引号表示先在程序源文件所在目录查找，如果未找到则去系统默认目录查找，通常用于包含程序作者编写的头文件;
尖括号表示只在系统默认目录或者括号内的路径查找，通常用于包含系统中自带的头文件;尖括号：
在包含文件目录中去查找(包含目录是由用户在设置环境时设置的)，而不在源文件目录去查找；
双引号：
首先在当前的源文件目录中查找，若未找到才到包含目录中去查找。
详解：
预处理器发现 #include 指令后，就会寻找后跟的文件名并把这个文件的内容包含到当前文件中。被包含文件中的文本将替换源代码文件中的#include指令，就像你把被包含文件中的全部内容键入到源文件中的这个位置一样。
#include 指令有两种使用形式
#include stdio.h 文件名放在尖括号中
#include “mystuff.h” 文件名放在双引号中
尖括号 和 括起来表明这个文件是一个工程或标准头文件。查找过程会检查预定义的目录，我们可以通过设置搜索路径环境变量或命令行选项来修改这些目录。
如果文件名用一对引号括起来则表明该文件是用户提供的头文件，查找该
文件时将从当前文件目录（或文件名指定的其他目录）中寻找文件，然后再在标准位置寻找文件。
为什么要包含文件呢？
因为这些文件包含了编译器所需的信息。例如，stdio.h文件通常包含EOF,NULL,
getchar()和putchar()的定义。
包含大型头文件并不一定显著增加程序的大小。很多情况下，头文件中的内容是编译器产生最终代码所需的信息，而不是加到最终代码里的具体语句。
被包含的文件还可以含有#include 指示符，由于嵌套包含文件的原因，一个头文件可能会被多次包含在一个源文件中，条件指示符可防止这种头文件的重复处理。
例如：
#ifndef BOOKSTORE_H
#define BOOKSTORE_H
#endif
条件指示符#ifndef 检查BOOKSTORE_H 在前面是否已经被定义，这里BOOKSTORE_H是一个预编译器常量习惯上预编译器常量往往被写成大写字母，如BOOKSTORE_H在前面没有被定义，则条件指示符的值为真于是从#ifndef 到#endif 之间的所有语句都被包含进来进行处理。相反，如果#ifndef 指示符的值为假则它与#endif 指示符之间的行将被忽略，为了保证头文件只被处理一次，把如下#define 指示符
#define BOOKSTORE_H
放在#ifndef 后面，这样在头文件的内容第一次被处理时，BOOKSTORE_H 将被定义
从而防止了在程序文本文件中以后#ifndef指示符的值为真。
只要不存在两个必须包含的头文件要检查一个同名的预处理器常量这样的情形，这个策略就能够很好地运作。#ifdef 指示符常被用来判断一个预处理器常量是否已被定义以便有条件地包含程序代码。
在input的标签里怎么绕过xss双引号的编码过滤
哥们，要是让你绕过去了，黑客也就绕过去了。不要想着从前台骗过过滤器，如果系统设置非常严格，所有从前台设置的输入信息都会被xss过滤器过滤，一般是把特殊字符删除或者转译(比如大于号小于号双引号斜杠等)，避免用户通过非法手段存储注入代码，但是一般的web系统，都不会在显示的时候重新转码，所以，如果你可以直接访问数据库，则可以讲特殊字符的代码直接写到数据库里，页面就会直接显示了。
有什么 绕过 htmlentities 进行 xss 攻击的方法吗
函数：htmlentities(string,quotestyle,character-set)
参数二是可选的。
规定如何编码单引号和双引号。
ENT_COMPAT - 默认。仅编码双引号或不成对的单引号。
ENT_QUOTES - 编码双引号和单引号。
ENT_NOQUOTES - 不编码任何引号。
参数三也可选的，是转换的字符集类型。
有这么一种情形：当我们使用这个函数的时候，使用了参数二。设置了过滤掉双引号很单引号这些东西（或许不编码）就容易出现XSS。
如：
?php
echo htmlspecialchars($_GET[url], ENT_QUOTES);
?
替换掉url里面的单引号和双引号，看起来是过滤的不错的，但是如果这个url没有出现单引号或双引号呢？或者双引号和单引号以另外的情况出现呢（二次编码）？
关于二次编码：
scriptalert(document.cookie)/script
如UTF-7编码后的
+ADw-SCRIPT+AD4-alert(document.cookie)+ADw-/SCRIPT+AD4-
最终为：
%2bADw-SCRIPT%2bAD4-alert(document.cookie)%2bADw-%2fSCRIPT%2bAD4-
可以考虑用于对付那些没有设置字符集，并且过滤了 的情况。
#include中用双引号括起来和用尖括号时它们有何区别
双引号表示先在程序源文件所在目录查找，如果未找到则去系统默认目录查找，通常用于包含程序作者编写的头文件;
尖括号表示只在系统默认目录或者括号内的路径查找，通常用于包含系统中自带的头文件;
如何正确防御xss攻击
传统防御技术
2.1.1基于特征的防御
传统XSS防御多采用特征匹配方式，在所有提交的信息中都进行匹配检查。对于这种类型的XSS攻击，采用的模式匹配方法一般会需要对“javascript”这个关键字进行检索，一旦发现提交信息中包含“javascript”，就认定为XSS攻击。
2.1.2 基于代码修改的防御
和SQL注入防御一样，XSS攻击也是利用了Web页面的编写疏忽，所以还有一种方法就是从Web应用开发的角度来避免：
1、对所有用户提交内容进行可靠的输入验证，包括对URL、查询关键字、HTTP头、POST数据等，仅接受指定长度范围内、采用适当格式、采用所预期的字符的内容提交，对其他的一律过滤。
2、实现Session标记(session tokens)、CAPTCHA系统或者HTTP引用头检查，以防功能被第三方网站所执行。
3、确认接收的的内容被妥善的规范化，仅包含最小的、安全的Tag(没有javascript)，去掉任何对远程内容的引用(尤其是样式表和javascript)，使用HTTP only的cookie。
当然，如上方法将会降低Web业务系统的可用性，用户仅能输入少量的制定字符，人与系统间的交互被降到极致，仅适用于信息发布型站点。
并且考虑到很少有Web编码人员受过正规的安全培训，很难做到完全避免页面中的XSS漏洞。
扩展资料：
XSS攻击的危害包括
1、盗取各类用户帐号，如机器登录帐号、用户网银帐号、各类管理员帐号
2、控制企业数据，包括读取、篡改、添加、删除企业敏感数据的能力
3、盗窃企业重要的具有商业价值的资料
4、非法转账
5、强制发送电子邮件
6、网站挂马
7、控制受害者机器向其它网站发起攻击
受攻击事件
新浪微博XSS受攻击事件
2011年6月28日晚，新浪微博出现了一次比较大的XSS攻击事件。
大量用户自动发送诸如：
“郭美美事件的一些未注意到的细节”，“建党大业中穿帮地方”，“让女人心动的100句诗歌”，“这是传说中的神仙眷侣啊”等等微博和私信，并自动关注一位名为hellosamy的用户。
事件的经过线索如下：
20:14，开始有大量带V的认证用户中招转发蠕虫
20:30，某网站中的病毒页面无法访问
20:32，新浪微博中hellosamy用户无法访问
21:02，新浪漏洞修补完毕
百度贴吧xss攻击事件
2014年3月9晚，六安吧等几十个贴吧出现点击推广贴会自动转发等。并且吧友所关注的每个关注的贴吧都会转一遍，病毒循环发帖。并且导致吧务人员，和吧友被封禁。
参考资料：
XSS攻击-百度百科
asp 求修复方法 XSS跨站脚本漏洞
UName=Replace(trim(Request.Form("UserName")),"'","")
PW=Replace(trim(Request.Form("Password")),"'","")
Sex=Replace(trim(Request.Form("Sex")),"'","")
QQ=Replace(trim(Request.Form("QQ")),"'","")
Age=Replace(trim(Request.Form("Age")),"'","")
AH=Replace(trim(Request.Form("AH")),"'","")
SF=Replace(trim(Request.Form("SF")),"'","")
这里
我只举一个例子,以下全部效仿
UName=Replace(trim(Request.Form("UserName")),"'","")
改为
UName=Replace(Replace(Replace(Replace(trim(Request.Form("UserName")),"'",""),Chr(34),""),":",""),"%","")
把' " %等危险字符过滤掉就行了