本文目录一览：
- 1、xss是什么意思？
- 2、XSS与CSRF有什么区别吗？
- 3、程序员需要具备哪些东西？
- 4、xss什么意思
- 5、XSS 攻击时怎么绕过 htmlspecialchars 函数
- 6、在xss中各种过滤的情况，在什么地方可能存在注入点
xss是什么意思？
最近网上流行的XSS是小学生的恶称，骂小学生的。如以下几种人：
一是指某些人的想法、思维方式、对事物的认知和思考能力如孩子般幼稚、单纯、天真。
二是特指某类相对于同龄的人，在游戏竞技或者社交网络中， 态度傲慢、技术水准较差、拒绝与队友沟通、独断专行、忽视团队合作、甚至喜欢恶语相向的网游玩家。
三是指对没有接触过社会或社会经验不足。
骂小学生的有以下行为：
1、小学生技术菜，爱骂人，玻璃心（说他一句就挂机送人头，不管说什么，比如：中路的你不要再送了，然后他就说“我就送”，接着就开始了。）小学生的心思就像星空，摸不着猜不透。
2、大喷子（网络中对喜欢肆意谩骂、地域黑、招黑、互黑等网友的一种广泛性定义。），不分青红皂白就开喷。
3、说话不经过大脑考虑，以自我为中心，可能是在家被宠惯了。
4、没有接触过社会大家庭或接触社会经验不足。比如：参加工作，你要是不让新人上，永远都是新人。这也是小学生。
XSS与CSRF有什么区别吗？
XSS是获取信息，不需要提前知道其他用户页面的代码和数据包。CSRF是代替用户完成指定的动作，需要知道其他用户页面的代码和数据包。要完成一次CSRF攻击，受害者必须依次完成两个步骤：
登录受信任网站A，并在本地生成Cookie。
在不登出A的情况下，访问危险网站B。
CSRF的防御
服务端的CSRF方式方法很多样，但总的思想都是一致的，就是在客户端页面增加伪随机数。通过验证码的方法。
by三人行慕课
程序员需要具备哪些东西？
程序员必须要了解的web安全
1.简述
互联网本来是安全的，自从有了研究安全的人之后，互联网就变得不安全了。
1.1什么是安全？
字典的解释是指没有受到威胁、没有危险、危害、损失。
1.2什么情况下会产生安全问题？
类似我们在机场，火车站里面，乘客开始上车之前，都会有一个必要的程序：安全检查。如果没有安全检查我们就会产生我们所谓的安全问题。在安全检查中我们会检查乘客身上是否携带了打火机，可燃液体等危险物品。
从上面我们看出为什么我们会有安全检查呢？归根结底还是信任问题。因为我们的信任关系被破坏，从而产生了安全问题。
1.3怎么进行有效的安全评估？
一个安全评估过程，可以简单地划分为4个阶段：资产等级划分，威胁分析，风险分析，确认解决方案。
资产等级划分：明确我们目标是什么，要保护什么。互联网安全的核心问题，其实是数据安全问题。用户的数据也就是我们需要保护的。
威胁分析：找到所有可能造成危害的来源，一般采用头脑风暴列举所有的情况。
风险分析：预估造成的损失大小。
确认解决安全方案：安全评估的产出物，就是确认安全解决方案。解决方案一定要有针对性，这种针对性是由资产等级划分，威胁分析，风险分析，确认解决方案。
2.浏览器安全
近年来随着互联网的发展，人们发现浏览器才是互联网最大的入口，绝大多数用户使用互联网的工具是浏览器。因此浏览器市场的竞争也日趋白热化。浏览器安全在这种激烈竞争的环境中被越来越多的人所重视。
2.1同源策略
浏览器的安全都是以同源为基础，它是浏览器最核心也最基本的安全功能，如果缺少了同源策略，则浏览器的正常功能可能都会受到影响。
浏览器的同源策略，限制了来自不同源的“document”或脚本，对当前"document"读取或设置某些属性。
这一策略很重要，试想一下如果没有同源策略，可能a.com的一段JS脚本，在b.com未曾加载此脚本时，也可以随意涂改b.com的页面。为了不让浏览器的页面行为发生混乱，浏览器提出了“Origin”这一概念，来自不同Origin的对象无法互相干扰。
影响“源”的因素有：host,子域名，端口，协议。
2.2恶意网址拦截
恶意网址拦截的工作原理很简单，一般都是浏览器周期性地从服务器端获取一份最新的恶意网址黑名单，如果用户上网时访问的网址存在于此黑名单中，浏览器就会弹出一个警告页面。
3.跨站脚本攻击
跨站脚本攻击(XSS)是客户端脚本安全中的头号大敌。
XSS：跨站脚本攻击，英文名称是Cross Site Script，本来缩写是CSS，为了和层叠样式的CSS有所区别，所以在安全领域叫“XSS”。
3.1XSS攻击
XSS攻击，通常指黑客通过“HTML注入”篡改可网页，插入了恶意的脚本，从而在用户浏览网页时，控制用户浏览器的一种攻击。举个例子：某个黑客发表了一篇文章其中包含了恶意的JS代码，所有访问这篇文章的人都会执行这段JS代码，这样就完成XSS攻击。
3.2反射型XSS
反射型XSS只是简单地把用户输入的数据反射给浏览器。也就是说，黑客往往需要引诱用户点击一个而已连接，才能攻击成功
3.3存储型XSS
存储型会把用户输入的数据“存储”在服务器端。这种XSS具有很强的稳定性。黑客把恶意的脚本保存到用户的服务器端，所以这种攻击就是存储型，理论上来说，它存在的时间是比较长的。
3.4 XSS的防御
XSS的防御是复杂的。
3.4.1 HttpOnly
HttpOnly最早是由微软提出，并在IE6中实现的，至今已经逐渐成为了一个标准。浏览器将禁止页面的JS访问带有HttpOnly属性的Cookie。
其实严格地说，HttpOnly并非为了对抗XSS——HttpOnly解决的是XSS后的Cookie劫持攻击。HttpOnly现在已经基本支持各种浏览器，但是HttpOnly只是有助于缓解XSS攻击，但仍然需要其他能够解决XSS漏洞的方案。
3.4.2 输入检查
在XSS的防御上，输入检查一般是检查用户输入的数据中是否包含一些特殊字符，如,等等。如果发现这些字符，则将字符过滤或者编码。这种输入检查的方式，可以叫“XSS Filter”。互联网上于很多开源的“XSS Filter”的实现。
XSS Filter在用户提交数据时获取变量，并进行XSS检查；但此时用户数据并没有结合渲染页面的HTML代码，因此XSS Filter对语境的理解并不完整。甚至有可能用户输入13，直接会把符号给过滤掉，所以一个好的XSSFilter是比较重要的。
3.4.3输出检查
一般来说，除了富文本的书除外，在变量输出到HTML页面时，可以使用编码火转移的方式来防御XSS攻击。和输入检查差不多。
xss什么意思
xss
跨站脚本攻击(Cross Site Scripting)，为不和层叠样式表(Cascading Style Sheets, CSS)的缩写混淆，故将跨站脚本攻击缩写为XSS。恶意攻击者往Web页面里插入恶意Script代码，当用户浏览该页之时，嵌入其中Web里面的Script代码会被执行，从而达到恶意攻击用户的目的。
XSS 攻击时怎么绕过 htmlspecialchars 函数
设置个中间差。
在数学中，一个函数是描述每个输入值对应唯一输出值的这种对应关系，符号通常为f(x)。在英文中读作f of x，但在中文中则常读作fx。其中x为自变量,y=f(x)为因变量（或称应变量）。包含某个函数所有的输入值的集合被称作这个函数的定义域，包含所有的输出值的集合被称作值域。
在xss中各种过滤的情况，在什么地方可能存在注入点
XSS注入的本质就是:某网页中根据用户的输入,不期待地生成了可执行的js代码,并且js得到了浏览器的执行.意思是说,发给浏览器的字符串中,包含了一段非法的js代码,而这段代码跟用户的输入有关.常见的XSS注入防护,可以通过简单的htmlspecialchars(转义HTML特殊字符),strip_tags(清除HTML标签)来解决,但是,还有一些隐蔽的XSS注入不能通过这两个方法来解决,而且,有时业务需要不允许清除HTML标签和特殊字符.下面列举几种隐蔽的XSS注入方法:IE6/7UTF7XSS漏洞攻击隐蔽指数:5伤害指数:5这个漏洞非常隐蔽,因为它让出现漏洞的网页看起来只有英文字母(ASCII字符),并没有非法字符,htmlspecialchars和strip_tags函数对这种攻击没有作用.不过,这个攻击只对IE6/IE7起作用,从IE8起微软已经修复了.你可以把下面这段代码保存到一个文本文件中(前面不要有空格和换行),然后用IE6打开试试(没有恶意代码,只是一个演示):+/v8+ADw-script+AD4-alert(document.location)+ADw-/script+AD4-最容易中招的就是JSONP的应用了,解决方法是把非字母和数字下划线的字符全部过滤掉.还有一种方法是在网页开始输出空格或者换行,这样,UTF7-XSS就不能起作用了.因为只对非常老版本的IE6/IE7造成伤害,对Firefox/Chrome没有伤害,所以伤害指数只能给4颗星.参考资料:UTF7-XSS不正确地拼接JavaScript/JSON代码段隐蔽指数:5伤害指数:5Web前端程序员经常在PHP代码或者某些模板语言中,动态地生成一些JavaScript代码片段,例如最常见的:vara='!--?phpechohtmlspecialchars($name);?';不想,$name是通过用户输入的,当用户输入a’;alert(1);时,就形成了非法的JavaScript代码,也就是XSS注入了.只需要把上面的代码改成:vara=