本文目录一览：
- 1、WAF防护有没有什么好的推荐
- 2、sql 2000怎么防注入啊？
- 3、在PHP的CI框架中，kindeditor自动过滤尖括号，怎么办？
- 4、渗透测试需要学那些知识？
- 5、steam文本格式中的的不解析标签是什么意思？？
- 6、jsp页面，如何验证textarea里面的特殊字符??，比如说引号，单引号，尖括号，等等，急急急、、、
WAF防护有没有什么好的推荐
在又拍云的云安全类别中，WAF防护是其中之一的功能，WAF主要防护的是来自对网站源站的动态数据攻击，可防护的攻击类型包括SQL注入、XSS攻击、CSRF攻击、恶意爬虫、扫描器、远程文件包含等攻击。
SQL注入攻击（SQL Injection），
简称注入攻击，是Web开发中最常见的一种安全漏洞。可以用它来从数据库获取敏感信息，或者利用数据库的特性执行添加用户，导出文件等一系列恶意操作，甚至有可能获取数据库乃至系统用户最高权限。
如何预防SQL注入
也许你会说攻击者要知道数据库结构的信息才能实施SQL注入攻击。确实如此，但没人能保证攻击者一定拿不到这些信息，一旦他们拿到了，数据库就存在泄露的危险。如果你在用开放源代码的软件包来访问数据库，比如论坛程序，攻击者就很容易得到相关的代码。如果这些代码设计不良的话，风险就更大了。目前Discuz、phpwind、phpcms等这些流行的开源程序都有被SQL注入攻击的先例。
这些攻击总是发生在安全性不高的代码上。所以，永远不要信任外界输入的数据，特别是来自于用户的数据，包括选择框、表单隐藏域和 cookie。就如上面的第一个例子那样，就算是正常的查询也有可能造成灾难。
SQL注入攻击的危害这么大，那么该如何来防治呢?下面这些建议或许对防治SQL注入有一定的帮助。
1、严格限制Web应用的数据库的操作权限，给此用户提供仅仅能够满足其工作的最低权限，从而最大限度的减少注入攻击对数据库的危害。
2、检查输入的数据是否具有所期望的数据格式，严格限制变量的类型，例如使用regexp包进行一些匹配处理，或者使用strconv包对字符串转化成其他基本类型的数据进行判断。
3、对进入数据库的特殊字符（'"\尖括号*;等）进行转义处理，或编码转换。Go 的text/template包里面的HTMLEscapeString函数可以对字符串进行转义处理。
4、所有的查询语句建议使用数据库提供的参数化查询接口，参数化的语句使用参数而不是将用户输入变量嵌入到SQL语句中，即不要直接拼接SQL语句。例如使用database/sql里面的查询函数Prepare和Query，或者Exec(qu
sql 2000怎么防注入啊？
一、建立Access数据库连接的常用方法
在ASP中建立对Access数据库连接的一般格式如下：
它的各步骤及参数意义如下：
第一行程序：利用Server对象的MapPath函数，取得要打开数据库的完整的文件路径，并存储在变量DbPath中。这其中，数据库名是我们需要指定的参数，应该用我们要打开的数据库的实际名称替代。如果数据库名是直接作为常量出现，要用引号将其括起来，并且不能丢掉扩展名。例如数据库是Test.mdb，则该行程序成为：DbPath=Server.MapPath(“Test.mdb”)。
第二行程序：建立一个ADO对象集中的Connection对象，也即连接对象。这是建立数据库连接的初始步骤。执行这行程序后，Conn成为一个连接对象。
第三行程序：利用连接对象Conn的Open方法打开一个指定的数据库。因为我们要打开的是Access数据库，所以要指定ODBC驱动程序参数，表示要透过Access的ODBC驱动程序来访问数据库：driver=;。另一个参数dbq= DbPath，运算后等效于dbq=Server.MapPath(数据库名) ,是利用了第一行的Server.MapPath(数据库名)函数，用来指定要打开的数据库文件。到这里，就已经打开了数据库名指定的数据库。如果数据库名是“test.mdb”，则打开Access数据库Test.mdb。在这一行里指定的参数，要严格按照格式原样写出，不能省略或改动，也没有可变参数。
第四行程序：建立一个ADO对象集中的Recordset对象，以便利用Recordset对象操作数据库（当然，这只是对数据库操作的多种方式之一）。执行这行后，rs就成为一个Recordset对象。
第五行程序：利用rs对象的Open方法打开数据库中的数据表。这其中有四个参数，其意义如下：
数据表名或SQL指令串：在这个参数里指定要打开的数据库内的数据表名称，或者是用SQL的Select指令串确定的数据表的指定范围数据，例如，数据库Test.mdb中有数据表Number，则该参数成为“Number”，注意引号不能丢；若想打开数据表Number中xh字段值小于90的数据记录，则该参数可能成为如下的形式：
“Select * From Number Where xh 90”。
Connection对象：指定已经打开的数据库的Connection对象，在这里固定是Conn，注意无须引号的。
Recordset类型：表示打开数据表的方式，有四种选择。数字0表示只读方式，且当前记录只能下移；数字1表示可读写方式，当前记录可自由上下移动，但不能及时看到别的用户建立的新记录，除非重新启动；数字2表示可读写方式，当前记录可自由移动，而且可以及时看到别的用户增加的新记录；数字3表示只读方式，但当前记录可以自由移动。一般选择2为好，除非为了禁止数据被修改。
锁定类型：这个参数指定数据库的锁定功能。因为网络上的数据库都是多用户的，很可能同时有多个用户在操作数据库。为了避免错误，让同一时间只可能有一个用户修改数据，就要用锁定功能。有四种选择：数字1表示只读方式锁定，用户不能更改数据；数字2表示悲观锁定，当一个用户用rs对象开始修改数据时就锁定数据库，直到用户用rs.Update更新记录后，才解除锁定；数字3表示乐观锁定，只有在数据写入数据库中时候才锁定，不保险，慎用！数字4表示批次乐观锁定，只有在使用rs.UpdateBatch成批更新数据时候才锁定数据记录。属于很少使用的。一般地，使用悲观锁定比较安全，但是效率要低些。
二、使用Recordset对象操作数据
用上面的方法打开数据库，是利用了Recordset对象建立的数据库连接，然后的对数据操作，也要使用该对象。
用rs.open “数据表名”，Conn，2，2 方式打开数据表，就可以方便的对数据进行操作：
常见的操作对象：
rs.addnew :添加一个新记录在数据表末尾。
rs.delete :删除当前记录。
rs.eof :判断是否已过最后记录。
rs.bof :判断是否移过首记录。
rs.update :数据修改生效。
rs(“字段名”)：当前记录指定字段的值。
从数据表中提取数据：用x=rs(“字段名”)的格式，提取数据表中当前记录指定字段的值。
向数据表中填入或修改数据：用rs(“字段名”)=数据值或变量的方式，修改当前记录指定字段的值。
三、使用SQL指令操作数据库
在使用SQL指令对数据库进行操作时，要用如下方式打开数据库和操作：
四、使用DSN连接数据库
在以上连接数据库的方式中，都是在程序中指定数据库，指定ODBC驱动程序。如果数据源有变化，就需要修改程序。如果在系统级别上，预先定义好数据源DSN，就可以避免这个麻烦。
在定义DSN的过程中，就已经指定好了数据源需要的ODBC驱动程序，也指定好了数据库文件的实际路径和名字，我们在程序中，只需要引用预先定义的数据源名DSN即可。
设定义好的DSN为test，则打开数据库的方式为：
五、结束语
在ASP程序中，建立数据库的连接和访问数据库，有很多方式和技术细节，在此难以一一详述。实际上，对SQL Server数据库，DBF数据库，文本文件，电子表格文件等，也都可以很方便的打开和访问，与对Access数据库的访问大同小异而已。如果说方便，Access应该是首选。如果考虑安全保密性，SQL数据库更好些。使用系统数据源DSN的方式建立对数据库的连接，具有更大的灵活性，也更简便些。
在PHP的CI框架中，kindeditor自动过滤尖括号，怎么办？
你看看application/config/config.php 文件启用了 XSS 过滤
$config['global_xss_filtering'] = TRUE;
或者您 $this-input-post( 'c', TRUE );
都会自动过滤一些特殊附号的。
渗透测试需要学那些知识？
web黑客渗透测试入门需要学哪些？
学习web渗透，就是从零散到整体。我们入门门槛比较低，学会用工具就可以了。但是从入门到另一个层次就比较难了，也是大部分脚本小子迷茫的地方。
在web渗透的核心那就是思路，大量的思路来源是来自于自己的知识积累和丰富的经验。 学而不思则罔思而不学则殆。
当我找到了一个注入点：
首先放进工具一点，工具提示不存在注入。很奇怪，明明是存在的，发个某大牛，某大你不想说话并向你扔了个链接，你发现居然爆出了帐号密码。
太多的人都是处于这个超级小白阶段，这个阶段处于菜鸟阶段，我称为打哪是哪。
我来问问：
brup suite你会用？你会用来做什么，爆破？你知道怎么抓包分析post注入吗？你知道绕过上传时brup suite的神奇之处吗？
sqlmap 你会用？你会用来做什么，-u？-dbs？你知道怎么在sqlmap中执行sql语句吗？你知道sqlmap怎么反弹shell吗？
xss 你都懂？你知道xss平台那么多模块都有什么妙用吗？你知道尖括号过滤都有哪些绕过方式吗？
入门学习思考 可能遇到的问题 和新手需知：
你知道svn源代码泄露是什么？通过审计代码能做到什么吗？
你知道在发现st2漏洞命令执行时出现目录限制的时候怎么突破吗？有多少种方式可以突破，在什么样的场景下容易出现，如果有杀软怎么绕过吗？
你知道在3306允许外链的情况下可以爆破吗？你以为扫描器会把端口的风险都列出来给你吗？
你知道一个缜密的邮箱伪造社工可能就能导致网站沦陷吗？
你知道遇到weblogic等弱口令的时候如何去部署war拿shell吗？
你知道各种java中间件的端口是哪些吗？各种反序列化漏洞是怎么样快速定位数据库配置文件的吗？
你知道填充Oracle漏洞的利用方法吗？你知道扫描器都是误报吗？你知道手工怎么测试漏洞真实存在吗？
你知道oa系统都有哪些通用注入和无限制getshell吗？
你知道phpmyadmin可以爆破吗？什么样的版本可以爆路径，什么样的版本几乎拿不到shell吗？
太多太多了，我上面提到的也只是web方面的冰山一角，后面的提权、内网等等难题如海。
steam文本格式中的的不解析标签是什么意思？？
就是字面意思，不解析该标签下的其他标签，也就是当字符处理了。
[noparse] 不解析[b]标签[/b] [/noparse]，这里的[b]标签[/b]被当成字符显示出来了，也就是说noparse标签里的所有标签无效化。
jsp页面，如何验证textarea里面的特殊字符??，比如说引号，单引号，尖括号，等等，急急急、、、
//去掉特殊符号的方法（调用在下面）
String.prototype.TextFilter=function(){
var pattern=new RegExp("[`~%!@#^=''?~！@#￥……——‘”“'？*()（），,。.、]"); //[]内输入你要过滤的字符，这里是我的
var rs="";
for(var i=0;ithis.length;i++){
rs+=this.substr(i,1).replace(pattern,'');
}
return rs;
}
var uname=document.getElementById("uname1").value; //通过ID取到texteara的值
var txt=uname.TextFilter(); //调用上面的去字符方法
if(txt!=uname){
alert("您输入的内容含有限定字符");
}
字符已经去了 怎么判断 要怎么调用 你自己看着办了（是在script/script里）