本文目录一览：
在input的标签里怎么绕过xss双引号的编码过滤
漏洞：当前端使用Input进行上传时，有心人只需要在控制台中找到上传文件的Input标签，然后将accept的参数修改一下便可越过这个限制，上传其他类型文件，比如本应该上传图片，通过这样修改可以上传audio\video\word\html\js等文件。
这是CI 里的吧 虽然接触CI 不多 但个人感觉$this-input-post(，true) 好点 。之前有用过xss_clean 这个 直接 Post 都无法提交了 直接失败 。
有这么一种情形：当我们使用这个函数的时候，使用了参数二。设置了过滤掉双引号很单引号这些东西（或许不编码）就容易出现XSS。
第一，更高级的注入技术，例如联合使用引号和转义字符，可以绕过这些机制。第二，引入转义字符会增加字符串的长度，如果结果字符串的长度超过数据库限制的话，可能会导致数据截断。
在script标签中输出 如代码：？php c = 1；alert(3)？ script type=text/javascript var c = ？=$c？/script 这样xss又生效了。
对所有用户提交内容进行可靠的输入验证，包括对URL、查询关键字、HTTP头、POST数据等，仅接受指定长度范围内、采用适当格式、采用所预期的字符的内容提交，对其他的一律过滤。
input怎样能排除JS命令,防止XSS攻击
1、我们看到我们输入的字符串被输出到第15行input标签里的value属性里面，被当成value里的值来显现出来，所以并没有弹窗，这时候我们该怎么办呢？聪明的人已经发现了可以在 SCRIPTalert(xss)/SCRIPT 前面加个来闭合input标签。
2、代码如下：这里是通过修改SpringMVC的json序列化来达到过滤xss的目的的。
3、input type=submit value=send / /form 当用户点击发送时，这条消息会被保存在数据库中指定的数据表中，另一个用户当打开这条消息的时候将看到发送的内容。
4、后台过滤就可以了。例如script ，input 标签直接replace掉 ，onclick. onxxx 之类也replace掉。只允许图文的html标记和样式存在。
5、防止上行注入攻击，你必须避免那些允许你关闭现有context开始新context的字符；而防止攻击跳跃DOM层次级别，你必须避免所有可能关闭context的字符；下行注入攻击，你必须避免任何可以用来在现有context内引入新的sub-context的字符。
如何防范XSS跨站脚本攻击测试篇
1、一些通常的跨站点脚本预防的最佳实践包括在部署前测试应用代码，并且以快速、简明的方式修补缺陷和漏洞。Web应用开发人员应该过滤用户的输入来移除可能的恶意字符和浏览器脚本，并且植入用户输入过滤代码来移除恶意字符。
2、后端需要对提交的数据进行过滤。前端也可以做一下处理方式，比如对script标签，将特殊字符替换成HTML编码这些等。DOM-based型XSSDOMXSS是基于文档对象模型的XSS。一般有如下DOM操作：使用document.write直接输出数据。
3、第8章 防御XSS攻击，介绍了一些防范XSS攻击的方法，例如，运用XSS Filter进行输入过滤和输出编码，使用Firefox浏览器的Noscript插件抵御XSS攻击，使用HTTP-only的Cookies同样能起到保护敏感数据的作用。
4、客户端分层防御策略。客户端跨站脚本攻击的分层防御策略是基于独立分配线程和分层防御策略的安全模型。它建立在客户端，这是它与其他模型最大的区别。
5、来自应用安全国际组织OWASP的建议，对XSS最佳的防护应该结合以下两种方法：验证所有输入数据，有效检测攻击；对所有输出数据进行适当的编码，以防止任何已成功注入的脚本在浏览器端运行。
什么是XSS攻击
什么是xss攻击XSS即（CrossSiteScripting）中文名称为：跨站脚本攻击。XSS的重点不在于跨站点，而在于脚本的执行。那么XSS的原理是：恶意攻击者在web页面中会插入一些恶意的script代码。
XSS攻击通常指的是通过利用网页开发时留下的漏洞，通过巧妙的方法注入恶意指令代码到网页，使用户加载并执行攻击者恶意制造的网页程序。
什么是XSS攻击XSS又叫CSS (Cross Site Script) ，跨站脚本攻击。它指的是恶意攻击者往Web页面里插入恶意html代码，当用户浏览该页之时，嵌入其中Web里面的html代码会被执行，从而达到恶意攻击用户的特殊目的。