有什么 绕过 htmlentities 进行 xss 攻击的方法吗
函数：htmlentities(string,quotestyle,character-set)
参数二是可选的。
规定如何编码单引号和双引号。
ENT_COMPAT - 默认。仅编码双引号或不成对的单引号。
ENT_QUOTES - 编码双引号和单引号。
ENT_NOQUOTES - 不编码任何引号。
参数三也可选的，是转换的字符集类型。
有这么一种情形：当我们使用这个函数的时候，使用了参数二。设置了过滤掉双引号很单引号这些东西（或许不编码）就容易出现XSS。
如：
?php
echo htmlspecialchars($_GET[url], ENT_QUOTES);
?
替换掉url里面的单引号和双引号，看起来是过滤的不错的，但是如果这个url没有出现单引号或双引号呢？或者双引号和单引号以另外的情况出现呢（二次编码）？
关于二次编码：
scriptalert(document.cookie)/script
如UTF-7编码后的
+ADw-SCRIPT+AD4-alert(document.cookie)+ADw-/SCRIPT+AD4-
最终为：
%2bADw-SCRIPT%2bAD4-alert(document.cookie)%2bADw-%2fSCRIPT%2bAD4-
可以考虑用于对付那些没有设置字符集，并且过滤了 的情况。
在input的标签里怎么绕过xss双引号的编码过滤
哥们，要是让你绕过去了，黑客也就绕过去了。不要想着从前台骗过过滤器，如果系统设置非常严格，所有从前台设置的输入信息都会被xss过滤器过滤，一般是把特殊字符删除或者转译(比如大于号小于号双引号斜杠等)，避免用户通过非法手段存储注入代码，但是一般的web系统，都不会在显示的时候重新转码，所以，如果你可以直接访问数据库，则可以讲特殊字符的代码直接写到数据库里，页面就会直接显示了。
'';!--"=&{()}
是不是想hack baidu啊。呵呵。
看样子，单引号好像被过滤为双引号了。
浏览器的Xss过滤器机制是什么，为什么有些反射型Xss不会触发过滤器
首先要说明的是 它是webkit的一个模块,而非chrome ,所以Safari和360安全浏览器极速模式等webkit内核的浏览器都有XSS过滤功能.
过滤方式：
通过模糊匹配 输入参数(GET query| POST form data| Location fragment ) 与 dom树,如果匹配中的数据中包含跨站脚本则不在输出到上下文DOM树中.另外,匹配的规则跟CSP没有什么关系,最多是有参考,CSP这种规范类的东西更新速度太慢跟不上现实问题的步伐.
关闭模式：
因为它有可能影响到业务,所以浏览器提供了关闭它的HTTP响应头.
X-XSS-Protection: 0
绕过方式：
因为专门做这方面的原因所以对绕过也有所了解,目前我发布过的一个bypass 0day还可以继续使用.
svgscript xlink:href=data:,alert(1)/script/svg
几种极其隐蔽的XSS注入的防护
XSS注入的本质
就是: 某网页中根据用户的输入, 不期待地生成了可执行的js代码, 并且js得到了浏览器的执行. 意思是说, 发给浏览器的字符串中, 包含了一段非法的js代码, 而这段代码跟用户的输入有关.
常见的XSS注入防护, 可以通过简单的 htmlspecialchars(转义HTML特殊字符), strip_tags(清除HTML标签) 来解决, 但是, 还有一些隐蔽的XSS注入不能通过这两个方法来解决, 而且, 有时业务需要不允许清除HTML标签和特殊字符. 下面列举几种隐蔽的XSS注入方法:
IE6/7 UTF7 XSS 漏洞攻击
隐蔽指数: 5
伤害指数: 5
这个漏洞非常隐蔽, 因为它让出现漏洞的网页看起来只有英文字母(ASCII字符), 并没有非法字符, htmlspecialchars 和 strip_tags 函数对这种攻击没有作用. 不过, 这个攻击只对 IE6/IE7 起作用, 从 IE8 起微软已经修复了. 你可以把下面这段代码保存到一个文本文件中(前面不要有空格和换行), 然后用 IE6 打开试试(没有恶意代码, 只是一个演示):
+/v8 +ADw-script+AD4-alert(document.location)+ADw-/script+AD4-
最容易中招的就是 JSONP 的应用了, 解决方法是把非字母和数字下划线的字符全部过滤掉. 还有一种方法是在网页开始输出空格或者换行, 这样, UTF7-XSS 就不能起作用了.
因为只对非常老版本的 IE6/IE7 造成伤害, 对 Firefox/Chrome 没有伤害, 所以伤害指数只能给 4 颗星.
参考资料:UTF7-XSS不正确地拼接 JavaScript/JSON 代码段
隐蔽指数: 5
伤害指数: 5
Web 前端程序员经常在 PHP 代码或者某些模板语言中, 动态地生成一些 JavaScript 代码片段, 例如最常见的:
var a = '?php echo htmlspecialchars($name); ?';
不想, $name 是通过用户输入的, 当用户输入a’; alert(1); 时, 就形成了非法的JavaScript 代码, 也就是XSS 注入了.
只需要把上面的代码改成:
var a = ?php echo json_encode($name); ?;
去掉单引号, 利用 PHP 的 json_encode() 函数来生成表示字符串的字符串. 这样做是因为,
最好用 json_encode() 函数来生成所有的 JSON 串, 而不要试图自己去拼接
. 程序员总是犯这样的错误: 自己去解析 HTTP 报文, 而不是用现成的成熟的库来解析. 用 json_encode() 的好处还在于, 即使业务要求我要保留单引号时, XSS注入也可以避免.
隐蔽指数最高级, 伤害所有的通用浏览器
. 这种 XSS 注入方式具有非常重要的参考意义.
最后, 根据工作中的经验, 以及我自己和别人犯过的错, 我总结出一个定理: 没有一劳永逸的单一方法可以解决所有 XSS 注入问题.
有用的经验:输出 HTML 代码时 htmlspecialchars输出JavaScript 代码时 json_encode
输入过滤应该用于解决业务限制, 而不是用于解决 XSS 注入(与严进宽出的原则相悖, 所以本条值得讨论)讨论:上文提到的经验第3条, 是一种宽进严出的原则, 和严进宽出原则是相悖的. 其实, 我认为不应该把严进宽出作为一条伪真理, 好像除了它其它的说法都不对了似的. 宽进严出和严进宽出应该具有完全相等的地位, 根据实现的成本进行取舍.
例如, 用户的名字可以采用严进宽出原则, 不允许用户填写单引号, 大于号小于号等. 但是用户的签名呢? 难道就不能填单引号?
我做的网站被漏洞检测说是有什么xss跨站脚本漏洞，怎么修复啊，哪位大侠帮看看！！
你这个页面我没看出来有xss啊，倒是有可能有sql注入漏洞。Title变量要过滤一下啊，要不用户可能会修改Title的内容，比如插入一个单引号，后面跟上自己的sql语句，这样会导致查到一些不该看到的数据库内容，引发注入漏洞。所以，要过滤一些用户提交的数据，把特殊字符全滤掉，百度一些啊asp防注入，有源码的。
xss，假设我是攻击者，我把提交数据的一个变量修改为‘aaaaaaaaaaaa’（post或则get提交的都可以，因为你是request接收的），然后看页面中回显‘aaaaaaaaaaaa’的位置。如果出现了，我可以尝试修改一下加入“”等，破坏掉你的html结构，如果可以破坏，那么我就可以插入javascript代码“script src=.../script”。盗取用户的cookies（所以cookies最好只用httponly），结合beef甚至操作用户的浏览器（权限和功能很低的，别想多了）。
综上所述，你写源码时，必须要检查所有用户可以修改和提交的数据（包括cookies等http头里面的），然后在输出点做好编码。输入与输出控制好了可以减免很多麻烦。
还可以使用安全宝、知道创于等公司提供的云waf服务，这样用户提交的数据会由他们检测，并且给你做好了cdn加速。注意的是，不要把你真实的ip暴露在网上。有的人只做www.test.com的解析，没有做test.com的解析，导致真实ip暴露在网上。
或者使用一些开源的cms，asp的我不了解，php的我知道有wordpress，代码写的很不错了，只要你定期更新版本，不乱下载一些插件（插件都是别人提交的，编程水平不一定很好所以），一般不会出什么大的漏洞。插件也要定期更新。
防止旁站，找主机服务商时要注意（找大的和好的），亚马逊这样的，每个站的权限都是控制的很死的，所以很难提权。
至于社工，安全是一种意识，慢慢培养吧。我了解的就这些了，希望能对你有帮助。