本文目录一览：
- 1、电脑键盘怎样打英文双引号
- 2、怎样预防web的执行顺序缺陷漏洞的产生
- 3、web攻击有哪些？怎么防护？
- 4、如何实现php的安全最大化？怎样避免sql注入漏洞和xss跨站脚本攻击漏洞
- 5、HTML5与CSS3项目测试
- 6、VC 过滤字符串内特殊符号的函数 比如双引号
电脑键盘怎样打英文双引号
电脑键盘怎样打英文双引号方法如下：
1、单引号：直接按按键就可以输入了。
2、双引号：按shift+按键。
3、另类输入--输入法输入搜狗输入法输入单引号。直接输入 dangyinhao 。
4、搜狗输入法输入双引号。直接输入 shuangyinhao 。
拓展资料：
电脑键盘是把文字信息的控制信息输入电脑的通道，从英文打字机的键盘演变而来的。它最早出现在电脑上的时候，还是一种叫做“电传打字机”的部件。
早期的键盘几乎都是机械式键盘，准确一点的说是机械触点式键盘，这种键盘使用电触点接触作为连同标志，使用机械金属弹簧作为弹力机构。这种键盘的手感硬、按键行程长、按键阻力变化快捷清脆，手感很接近打字机键盘，所以在当时很受欢迎，直到今天仍然有相当一部分人十分怀念这种键盘的手感。
怎样预防web的执行顺序缺陷漏洞的产生
方法/步骤
1
输入校验
大多数的安全漏洞是因为目标应用程序没有正确地校验输入数据。所以，应用程序要考虑到所有恶意的输入直到能证明其合法，这要涵盖不可信环境中的所有数据。
输入校验是第一道防线，总体来讲就是缩小应用程序允许输入的范围，它会直接作用在用户提供的数据上。这种类型的防御要依赖输入参数在一个合法的范围内，或者如果用户提供了超出了范围的值就会停止执行。在Web应用程序中，这首先要标准化输入将其转换到基线字符集和编码。接下来，应用程序必须对标准化的输入使用过滤策略，拒绝那些值在合法范围之外的输入。这种方式能够避免很多Web应用程序中的问题，在执行输入校验时会使用正向模式匹配或正向校验。在这种情况下，开发人员建立规则来识别那些可接受的输入而不是识别有什么输入是不可接受的。尽管开发人员不能预测所有类型的攻击，但他们应该能够说明所有类型的合法输入。
关键问题在于，输入校验通常使用地并不充分，这是因为输入参数的数据域允许存在恶意数据，这是与校验执行相独立的。例如，在SQL注入漏洞中，大多数的SQL语句使用引号作为字符串分隔符，这就意味着黑客可以使用它来执行SQL注入攻击。但是，在有些情况下，字符串输入域必须允许存在引号值，所以应用程序不能排除所有包含引号的值。
2
热点防护
任何类型的攻击都是以热点为目标的，热点指的就是应用程序中可能会有某种类型漏洞的代码。通用的输入校验会在应用程序中进行或者在整个Web应用程序上下文中修改输入，与之相比，第二道防线关注于保护重要的热点，例如保护那些真正使用输入域值的代码行。
一个具体的例子就是SQL注入攻击，它们大多数会使用单引号或双引号。有些编程语言提供了对这些字符的转码机制，这样它们就能用在SQL语句中了，但是只能用来在语句中分隔值。4但是这些技术有两个问题。第一，更高级的注入技术，例如联合使用引号和转义字符，可以绕过这些机制。第二，引入转义字符会增加字符串的长度，如果结果字符串的长度超过数据库限制的话，可能会导致数据截断。
正确使用参数化命令是预防注入攻击最有效的方式。1在这种情况下，开发人员定义命令的结构，并使用占位符来代表命令的变量值。稍后，当应用程序将对应的值关联到命令上时，命令解释器会正确地使用它们而不会涉及到命令的结构。
这种技术最著名的用法是数据库的预处理语句，也被称为参数化查询。4 当应用程序创建预处理语句时，语句发送到了数据库端。应用程序使用占位符来表示查询的可变部分，占位符通常会是问号或标签。随后，每次查询执行时，应用程序都要往对应的可变部分绑定值。不管数据的内容是什么，应用程序会一直使用这个表达式作为一个值而并没有SQL代码。因此，不可能修改查询的结构。
为了确保正确使用数据，很多语言允许类型绑定。但是预处理语句本身并不能修复不安全的语句——开发人员必须正确地使用它们。例如，像传统语句一样使用预处理语句——也就是使用字符串拼接来绑定SQL查询——而不是对查询的可变部分使用占位符会导致类似的漏洞。
3
输出校验
在将一个进程的输出发送之前进行校验能够避免用户收到他们不应该看到的信息，例如应用程序内部的异常细节，这些信息有助于发起其他的攻击。在输出校验的另一个例子当中，保护系统会搜索应用程序输出的关键信息，如信用卡号，并在发送给前端之前用星号代替。将信息编码是能够避免XSS漏洞的一种输出校验方式。如果发送给浏览器的数据要显示在Web页面上，它应该进行HTML编码或百分号编码，这取决于它在页面的位置。通过这种方式，XSS所用的恶意字符不再具有破坏性，而且编码会保留数据的原来意义。
web攻击有哪些？怎么防护？
1、DoS和DDoS攻击（DoS(Denial of Service)，即拒绝服务，造成远程服务器拒绝服务的行为被称为DoS攻击。其目的是使计算机或网络无法提供正常的服务。最常见的DoS攻击有计算机网络带宽攻击和连通性攻击）
防范：(1) 反欺骗：对数据包的地址及端口的正确性进行验证，同时进行反向探测。(2) 协议栈行为模式分析：每个数据包类型需要符合RFC规定，这就好像每个数据包都要有完整规范的着装，只要不符合规范，就自动识别并将其过滤掉。(3) 特定应用防护：非法流量总是有一些特定特征的，这就好比即便你混进了顾客群中，但你的行为还是会暴露出你的动机，比如老重复问店员同一个问题，老做同样的动作，这样你仍然还是会被发现的。(4) 带宽控制：真实的访问数据过大时，可以限制其最大输出的流量，以减少下游网络系统的压力。
2、CSRF(Cross Site Request Forgery)，即跨站请求伪造，是一种常见的Web攻击，但很多开发者对它很陌生。CSRF也是Web安全中最容易被忽略的一种攻击。
防范：(1) 验证码。应用程序和用户进行交互过程中，特别是账户交易这种核心步骤，强制用户输入验证码，才能完成最终请求。在通常情况下，验证码够很好地遏制CSRF攻击。但增加验证码降低了用户的体验，网站不能给所有的操作都加上验证码。所以只能将验证码作为一种辅助手段，在关键业务点设置验证码。(2) Referer Check。HTTP Referer是header的一部分，当浏览器向web服务器发送请求时，一般会带上Referer信息告诉服务器是从哪个页面链接过来的，服务器籍此可以获得一些信息用于处理。可以通过检查请求的来源来防御CSRF攻击。正常请求的referer具有一定规律，如在提交表单的referer必定是在该页面发起的请求。所以通过检查http包头referer的值是不是这个页面，来判断是不是CSRF攻击。但在某些情况下如从https跳转到http，浏览器处于安全考虑，不会发送referer，服务器就无法进行check了。若与该网站同域的其他网站有XSS漏洞，那么攻击者可以在其他网站注入恶意脚本，受害者进入了此类同域的网址，也会遭受攻击。出于以上原因，无法完全依赖Referer Check作为防御CSRF的主要手段。但是可以通过Referer Check来监控CSRF攻击的发生。(3) Anti CSRF Token。目前比较完善的解决方案是加入Anti-CSRF-Token，即发送请求时在HTTP 请求中以参数的形式加入一个随机产生的token，并在服务器建立一个拦截器来验证这个token。服务器读取浏览器当前域cookie中这个token值，会进行校验该请求当中的token和cookie当中的token值是否都存在且相等，才认为这是合法的请求。否则认为这次请求是违法的，拒绝该次服务。这种方法相比Referer检查要安全很多，token可以在用户登陆后产生并放于session或cookie中，然后在每次请求时服务器把token从session或cookie中拿出，与本次请求中的token 进行比对。由于token的存在，攻击者无法再构造出一个完整的URL实施CSRF攻击。但在处理多个页面共存问题时，当某个页面消耗掉token后，其他页面的表单保存的还是被消耗掉的那个token，其他页面的表单提交时会出现token错误。
3、XSS(Cross Site Scripting)，跨站脚本攻击。为和层叠样式表(Cascading Style Sheets，CSS)区分开，跨站脚本在安全领域叫做“XSS”。
防范：(1) 输入过滤。永远不要相信用户的输入，对用户输入的数据做一定的过滤。如输入的数据是否符合预期的格式，比如日期格式，Email格式，电话号码格式等等。这样可以初步对XSS漏洞进行防御。上面的措施只在web端做了限制，攻击者通抓包工具如Fiddler还是可以绕过前端输入的限制，修改请求注入攻击脚本。因此，后台服务器需要在接收到用户输入的数据后，对特殊危险字符进行过滤或者转义处理，然后再存储到数据库中。(2) 输出编码。服务器端输出到浏览器的数据，可以使用系统的安全函数来进行编码或转义来防范XSS攻击。在PHP中，有htmlentities()和htmlspecialchars()两个函数可以满足安全要求。相应的JavaScript的编码方式可以使用JavascriptEncode。(3) 安全编码。开发需尽量避免Web客户端文档重写、重定向或其他敏感操作，同时要避免使用客户端数据，这些操作需尽量在服务器端使用动态页面来实现。(4) HttpOnly Cookie。预防XSS攻击窃取用户cookie最有效的防御手段。Web应用程序在设置cookie时，将其属性设为HttpOnly，就可以避免该网页的cookie被客户端恶意JavaScript窃取，保护用户cookie信息。(5)WAF(Web Application Firewall)，Web应用防火墙，主要的功能是防范诸如网页木马、XSS以及CSRF等常见的Web漏洞攻击。由第三方公司开发，在企业环境中深受欢迎。
4、SQL注入(SQL Injection)，应用程序在向后台数据库传递SQL(Structured Query Language，结构化查询语言)时，攻击者将SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。
防范：(1) 防止系统敏感信息泄露。设置php.ini选项display_errors=off，防止php脚本出错之后，在web页面输出敏感信息错误，让攻击者有机可乘。(2) 数据转义。设置php.ini选项magic_quotes_gpc=on，它会将提交的变量中所有的’(单引号)，”(双引号)，\(反斜杠)，空白字符等都在前面自动加上\。或者采用mysql_real_escape()函数或addslashes()函数进行输入参数的转义。(3) 增加黑名单或者白名单验证。白名单验证一般指，检查用户输入是否是符合预期的类型、长度、数值范围或者其他格式标准。黑名单验证是指，若在用户输入中，包含明显的恶意内容则拒绝该条用户请求。在使用白名单验证时，一般会配合黑名单验证。
5、上传漏洞在DVBBS6.0时代被黑客们利用的最为猖獗，利用上传漏洞可以直接得到WEBSHELL，危害等级超级高，现在的入侵中上传漏洞也是常见的漏洞。该漏洞允许用户上传任意文件可能会让攻击者注入危险内容或恶意代码，并在服务器上运行。
防范： (1)检查服务器是否判断了上传文件类型及后缀。 (2) 定义上传文件类型白名单，即只允许白名单里面类型的文件上传。 (3) 文件上传目录禁止执行脚本解析，避免攻击者进行二次攻击。 Info漏洞 Info漏洞就是CGI把输入的参数原样输出到页面，攻击者通过修改输入参数而达到欺骗用户的目的。
如何实现php的安全最大化？怎样避免sql注入漏洞和xss跨站脚本攻击漏洞
使用php安全模式
服务器要做好管理，账号权限是否合理。
假定所有用户的输入都是“恶意”的，防止XSS攻击，譬如：对用户的输入输出做好必要的过滤
防止CSRF，表单设置隐藏域，post一个随机字符串到后台，可以有效防止跨站请求伪造。
文件上传，检查是否做好效验，要注意上传文件存储目录权限。
防御SQL注入。
避免SQL注入漏洞
1.使用预编译语句
2.使用安全的存储过程
3.检查输入数据的数据类型
4.从数据库自身的角度考虑，应该使用最小权限原则，不可使用root或dbowner的身份连接数据库。若多个应用使用同一个数据库，也应该为数据库分配不同的账户。web应用使用的数据库账户，不应该有创建自定义函数，操作本地文件的权限。
避免XSS跨站脚本攻击
1.假定所有用户输入都是“邪恶”的
2.考虑周全的正则表达式
3.为cookie设置HttpOnly,防止cookie劫持
4.外部js不一定可靠
5.出去不必要的HTML注释
6. 针对非法的HTML代码包括单双引号等，使用htmlspecialchars()函数。
HTML5与CSS3项目测试
软件测试技巧
1、添加、修改功能
（1）是否支持tab键
（2）是否支持enter键
（3）不符合要求的地方是否有错误提示
（4）保存后，是否也插入到数据库中
（5）字段唯一的，是否可以重复添加
（6）对编辑页列表中的每个编辑项进行修改，点击保存，是否保存成功
（7）对于必填项，修改为空、空格或其他特殊符号，是否可以编辑成功
（8）在输入框中，直接回车
（9）是否能够连续添加
（10）在编辑的时候，要注意编辑项的长度限制，有时，添加时有长度限制，但编辑时却没有（添加和修改规则是否一致）
（11）添加时，字段是唯一的，不允许重复，但有时，编辑时，却可以修改为相同字段（相同字段包括是否区分大小写以及在输入内容的前后输入空格）
（12）添加含有特殊符号或空格的内容
（13）对于有图片上传功能的编辑框，对于没有上传的图片，查看编辑页面时，是否显示默认图片，如果上传了图片，是否显示为上传图片？
2、删除功能
（1）输入正确数据前加空格，看是否能正确删除？
（2）是否支持enter键
（3）是否能连续删除多个产品？当只有一条数据时，能否成功删除
（4）删除一条数据后，能否再添加相同的数据？
（5）当提供能一次删除多条信息的功能时，注意，删除的数据是否正确？
（6）不选择任何信息，直接点击删除按钮，看有什么错误提示？
（7）删除某条信息时，应该有错误提示信息
3、注册、登录模块
（1）注册成功，但登录失败：注册时，密码设置为一些特殊符号，但登录时，失败
（2）注册时，连续点击提交按钮
（3）注册成功后，页面应该以登录状态跳转到首页
（3）登录时，没区分大小写，注册时，是小写字母，但登录时，用大写字母也能登录进去
（4）登录时，当页面刷新或重新输入新数据时，验证码是否也随之更新
（5）对密码的修改，当把密码修改为很长，或含有特殊符号时，能够修改成功，但却不能成功登录。
4、上传图片测试
（1）文件类型正确，文件大小合适
（2）文件类型正确，文件大小不合适
（3）文件类型错误，文件大小合适
（4）文件类型和大小都合适，上传一个正在使用中的图片
（5）文件类型和大小合适，手动输入一个存在的图片地址来上传
（6）文件类型和大小合适，手动输入一个不存在的图片地址上传
（7）文件类型和大小都合适，手动输入图片名称来上传
5、返回键检查
（1）一条已经成功提交的记录，返回后再提交，看系统是否做了处理
（2）检查多次使用返回键的情况，在有返回键的地方，返回到原来页面重复多次，看是否会出错
6、回车键检查
在输入结束后，直接按回车键，看系统处理如何，是否会报错
7、刷新键检查
在web系统中，使用浏览器的刷新键，看系统处理如何，是否会报错
8、直接URL链接检查
在web系统中，直接输入各功能页面的URL地址，看系统如何处理
9、其他
（1）在测试时，有与网络有关的步骤必须考虑到断网的情况
（2）每个页面都有相应的页面title
（3）在测试的时候要尽量考虑在页面出现滚动条时（滚动条上下滚动下），页面显示是否正常
（4）URL不区分大小写
10、测试中，并发情况的考虑
总结了以下两种情况：
（1）某个字段是唯一的，当多个用户并发点击产生该字段时，检查系统是怎么处理的
（2）对于电子商务网站，当两个或多个用户并发购买量总和大于产品库存量时，能否购买成功
二、界面和易用性测试
1、界面测试，主要测试网站的界面是否和设计一致，是否有错别字，页面布局是否合理，格式是否正确，是否有相应的错误提示信息等。
2、易用性测试，主要是考察所开发出的功能是否人性化，是否易用，是否符合大多数用户的使用习惯等。
3、对Tab和Enter键的测试。
三、兼容性测试
兼容性测试不只是指界面在不同操作系统或浏览器下的兼容，有些功能方面的测试，也要考虑到兼容性，比如涉及到ajax、jquery、javascript等技术的，都要考虑到不同浏览器下的兼容性问题。
四、链接测试
主要是保证链接的可用性和正确性，它也是网站测试中比较重要的一个方面。
五、业务流程测试
业务流程，一般会涉及到多个模块的数据，所以在对业务流程测试时，首先要保证单个模块功能的正确性，其次就要对各个模块间传递的数据进行测试，这往往是容易出现问题的地方，测试时一定要设计不同的数据进行测试。
六、安全性测试
（1）SQL注入
（2）XSS跨网站脚本攻击：程序或数据库没有对一些特殊字符进行过滤或处理，导致用户
所输入的一些破坏性的脚本语句能够直接写进数据库中，浏览器会直接执行这些脚本语句，破坏网站的正常显示，或网站用户的信息被盗,构造脚本语句时，要保证脚本的完整性。
document.write("abc")
scriptalter("abc")/script
（3）URL地址后面随便输入一些符号
(4)验证码更新问题
1. 在购物网站中如果就剩一个商品了 然后多个人同时去点击购买的时候会怎么处理。
2.搜索功能
（1）比较长的名称是否能查到？
（2）空格 或空
（3）名称中含有特殊字符，如：' $% *以及空格等
（4）关键词前面或后面有空格
（5）如果支持模糊查询，搜索名称中任意一个字符是否能搜索到
（6）输入系统中不存在与之匹配的条件
（7）两个查询条件是否为2选1，来回选择是否出现页面错误
（8）输入脚本语言,如：scriptalter(“abc”)/script等
3.添加、修改功能
（1）是否支持tab键
4. 安全测试：
在输入框中输入 'scriptalert(“XSS”)/script后，竟然能执行，记录下来.......
查询输入
（1）分别对单条件进行精确查询
（2）输入长度的检验，输入允许的最长值进行查询，是否支持
（3）两个查询条件是否为2选1，来回选择是否出现页面错误
（5）输入特殊字符
（6）输入数字
（7）输入汉字
（8）输入关系表达式 与、或、异或、非、等于
（9）输入空格
（10）条件中含有空格
（11）输入超长字符
（12）输入全角字符
（13）输入单引号
（14）输入单引号引起来的数据
（15）输入双引号
（16）输入双引号引起来的数据
（17）如果支持模糊查询，输入部分查询条件
（18）输入系统中不存在与之匹配的条件
查询结果检查
（1）查询结果按什么顺利排序
（2）查询结果是否根据字段显示排序功能
（3）查询结果是否有分页，如果有，每页最多包含多少记录
（4）查询结果是否匹配
（5）查询结果是否与数据库一致
（6）查询结果是精确查询还是模糊查询
UI验证
（1）文字显示是否正确
（2）页面是否有错别字
（3）输入框大小、文字大小是否合适
（4）页面是否美观
（5）查询结果字段显示是否与需求一致
性能方面
（1）查询处理时间是否能接受
（2）数据库中存在大数据量数据时，查询时间是否能接受
（3）当多个用户同时查询时，输入相同或不同的查询条件系统响应是否及时
对于查询功能，同样可以从以下几个方面来进行用例的设计：
1、功能方面考虑：应用边界值和等价类划分法进行用例的设计
边界值：输入最大长度的文本，能否搜出来？输入空格或空，能否搜索出来？
等价类：要考虑到一些特殊符号的输入查询。
2、易用性方面
3、界面方面
4、安全角度：比如输入一些脚本语言，看是否执行，主要是防XSS攻击问题
5、性能角度：查询效率、并发、响应时间问题的考虑
网页安全缺陷
现在网站开发已经注意到：登陆网站进入其内部网页后，直接拷贝网址，然后粘贴到另一IE窗口输入，可以绕过登陆直接访问。也许商业网站很关注这个问题，但是很多行业软件却很容易忽略。
网页安全缺陷还可能存在于IE弹出的子窗口。有些设计不严格的软件，在主页面关闭的时候子页面还可以运行，这是一个明显的漏洞，而且还大大增加了错误发生的几率。
判断顺序/逻辑缺陷
对界面进行多个输入判断的时候，非常容易出现这种问题。例如判断年月顺序，判断长度，判断非空等。假如操作员仅仅满足单个条件，保存不能成功;而按界面从上之下顺序一一满足条件之后，保存是没有问题的。但是，改变一下输入的次序，校验失效。例如，一一满足条件之后，不保存，倒过来将上面的输入改成非法输入，然后保存，结果居然也能成功，这是因为原先的判断由于发生过，或者根据语句顺序只检查最后一个判断，所以没有报错。这种错误尤其在Java scrīpt脚本的页面中要注意。能够保存不能保证数据正确，有可能引起系统崩溃或者后续数据错误。所以，在测试的时候，不要按照正常的顺序输入，而是要打乱步骤，看看代码是否强健，是否在判断逻辑上没有错误。良好的代码应该经得起折腾，至少保存时会再此全部进行判断，而不只是简简单单走到判断的最后一行。
调试语句和冗余信息
维护项目和升级改造的推广系统最容易潜伏这类缺陷。典型表现在没有删除或者屏蔽调试语句。弹出一个界面不友好的提示信息，会使不明真相的用户产生误以为系统发生了严重故障，从而引起对软件的不信任感。页面中某个角落存在当前客户不需要的冗余按钮和功能也是一种缺陷。多余的功能会使用户以为是额外附加部分而去使用，其结果可想而知;而多余的按钮会误导好奇心强的用户操作，产生不必要的错误。
同样值得关注的还有参数设置，由于没有实际数据，开发人员在调试或者单元测试的时候，习惯性的进行自我设定而忘了删除，软件测试人员可能会忽略掉了这部分测试，也可能导致在客户现场发生错误而影响系统发布和验收。
不可重现的故障
新参加软件测试的人员或者新来的开发人员总是要问，不可重现的缺陷是否需要记录，有必要吗?回答是肯定的。测试必须如实的记录发生的问题，也许不能重现，或者使非软件系统本身问题，但是，可能这些偶然性背后是有规律的，不记录这些，就不可能发现这些规律。
多节点的逆向流转缺陷
当前软件不少喜欢使用工作流来驱动。工作流的问题，就是可能出现多个流向分支。测试容易忽略的部分，就是工作流多节点的逆向流转。例如，通过不通过涉及两个分支，但是流程逆转的时候，有可能不是回到上一节点而是平级的另一个节点去了。软件测试要格外注意这类用例的设计。另外，有些时候默认分支在向前的时候是有默认值的，例如默认通过，那么保存的时候要提示用户是否通过，否则可能由于操作疲劳而走错了节点，引起回退。
输入框缺陷
试过往输入框粘贴数据而不是直接输入吗?可能这里会出现问题。按Ctrl+V的时候，输入框会根据长度大小自动截断输入长度。但是用鼠标，截断可能会失效。有一次测试人员就是用这种方法把一篇Word文档输入进去了，保存的时候，数据库崩溃。有些网站登陆的口令****可以拷贝下来的，只要放在剪贴板里面马上明文显示。（在以后的测试中需要注意的）
VC 过滤字符串内特殊符号的函数 比如双引号
你要是想要子函数，你自己改一下就行了，应该会吧，按CTRL+Z输入结束
#includestdio.h
int main()
{
char a[100],ch;
int i=0,j;
while((ch=getchar())!=EOF)
if((ch='0'ch='9')||(ch='z'ch='a')||(ch='A'ch='Z')){
a[i]=ch;
i++;
}
for(j=0;ji;j++)
printf("%c",a[j]);
printf("\n");
return 0;
}