目录介绍：

• 1、xss漏洞中需要过滤哪些特殊的字符
• 2、几种极其隐蔽的XSS注入的防护
• 3、特殊字符具体是指哪些字符

xss漏洞中需要过滤哪些特殊的字符

点击系统上的腾讯电脑管家应用程序界面，在主界面中，点击修复漏洞按钮

在漏洞修复界面中，展出可以安装的修复程序列表，如果简单的话，可以直接点击右侧的一键修复按钮

点击漏洞修复界面中的，已安装，就会返回已经安装的漏洞修复程序列表

点击右上方的设置按钮，进行漏洞修复设置

在设置界面中，可以设置程序的安装和修复方式，需要提醒自己，然后进行修复操作

几种极其隐蔽的XSS注入的防护

XSS注入的本质

就是: 某网页中根据用户的输入, 不期待地生成了可执行的js代码, 并且js得到了浏览器的执行. 意思是说, 发给浏览器的字符串中, 包含了一段非法的js代码, 而这段代码跟用户的输入有关.

常见的XSS注入防护, 可以通过简单的 htmlspecialchars(转义HTML特殊字符), strip_tags(清除HTML标签) 来解决, 但是, 还有一些隐蔽的XSS注入不能通过这两个方法来解决, 而且, 有时业务需要不允许清除HTML标签和特殊字符. 下面列举几种隐蔽的XSS注入方法:

IE6/7 UTF7 XSS 漏洞攻击

隐蔽指数: 5

伤害指数: 5

这个漏洞非常隐蔽, 因为它让出现漏洞的网页看起来只有英文字母(ASCII字符), 并没有非法字符, htmlspecialchars 和 strip_tags 函数对这种攻击没有作用. 不过, 这个攻击只对 IE6/IE7 起作用, 从 IE8 起微软已经修复了. 你可以把下面这段代码保存到一个文本文件中(前面不要有空格和换行), 然后用 IE6 打开试试(没有恶意代码, 只是一个演示):

+/v8 +ADw-script+AD4-alert(document.location)+ADw-/script+AD4-

最容易中招的就是 JSONP 的应用了, 解决方法是把非字母和数字下划线的字符全部过滤掉. 还有一种方法是在网页开始输出空格或者换行, 这样, UTF7-XSS 就不能起作用了.

因为只对非常老版本的 IE6/IE7 造成伤害, 对 Firefox/Chrome 没有伤害, 所以伤害指数只能给 4 颗星.

参考资料:UTF7-XSS不正确地拼接 JavaScript/JSON 代码段

隐蔽指数: 5

伤害指数: 5

Web 前端程序员经常在 PHP 代码或者某些模板语言中, 动态地生成一些 JavaScript 代码片段, 例如最常见的:

var a = '?php echo htmlspecialchars($name); ?';

不想, $name 是通过用户输入的, 当用户输入a’; alert(1); 时, 就形成了非法的JavaScript 代码, 也就是XSS 注入了.

只需要把上面的代码改成:

var a = ?php echo json_encode($name); ?;

去掉单引号, 利用 PHP 的 json_encode() 函数来生成表示字符串的字符串. 这样做是因为,

最好用 json_encode() 函数来生成所有的 JSON 串, 而不要试图自己去拼接

. 程序员总是犯这样的错误: 自己去解析 HTTP 报文, 而不是用现成的成熟的库来解析. 用 json_encode() 的好处还在于, 即使业务要求我要保留单引号时, XSS注入也可以避免.

隐蔽指数最高级, 伤害所有的通用浏览器

. 这种 XSS 注入方式具有非常重要的参考意义.

最后, 根据工作中的经验, 以及我自己和别人犯过的错, 我总结出一个定理: 没有一劳永逸的单一方法可以解决所有 XSS 注入问题.

有用的经验:输出 HTML 代码时 htmlspecialchars输出JavaScript 代码时 json_encode

输入过滤应该用于解决业务限制, 而不是用于解决 XSS 注入(与严进宽出的原则相悖, 所以本条值得讨论)讨论:上文提到的经验第3条, 是一种宽进严出的原则, 和严进宽出原则是相悖的. 其实, 我认为不应该把严进宽出作为一条伪真理, 好像除了它其它的说法都不对了似的. 宽进严出和严进宽出应该具有完全相等的地位, 根据实现的成本进行取舍.

例如, 用户的名字可以采用严进宽出原则, 不允许用户填写单引号, 大于号小于号等. 但是用户的签名呢? 难道就不能填单引号?

特殊字符具体是指哪些字符

特殊字符是相对于传统或常用的符号外，使用频率较少字符且难以直接输入的符号。比如数学符号，单位符号，制表符等。

举例：

1、注音符号

ㄅㄆㄇㄈㄉㄊㄋㄌˇㄍㄎㄏˋㄐㄑㄒㄓㄔㄕㄖˊㄗㄘㄙ˙ㄧㄨㄩㄚㄛㄜㄝㄞㄟㄠㄡㄢㄣㄤㄥㄦ

2、数学符号

≈≡≠=≤≥≮≯∷±+－×÷/∫∮∝∞∧∨∑∏∪∩∈∵∴⊥∥∠⌒⊙≌∽√ ∟ ∣∶≒ ≦ ≧ ⊕⊿

3、拼音字符

ā á ǎ à ō ó ǒ ò ê ē é ě è ī í ǐ ì ū ú ǔ ù ǖ ǘ ǚ ǜ ü ń ň ǹ ɑ ɡ

4、图文符号

☃ ☄ ☈ ☫ ☬ ☸ ♞ ♝ ♛ ♚ ♙♘ ♗ ♕㊊ ㊋ ㊌ ㊍

5、方块符号

▀▁▂▃▄▅▆▇█▉▊▋▌▍▎▏▐░▒▓▔▕▖▗▘▙▚▛▜▝▞▟

6、箭头

↑　↓　→　←　↘　↙　↖　↗　↔　↕➹　▶　➩　➾　➔　➘　➚　➛　➝　➞　➟

扩展资料：

中文输入法有一套自己的符号输入方法，在调出文字输入程序后按下V+1-9任意一个数字键，就会出现符号输入，并且1-9分别代表了9组不同的特殊符号，有罗马数字、阿拉伯特殊数字、日文、韩文等等。如：

1、V+1 ：标点符号与特殊符号；

2、V+2：带圈或括号的阿拉伯数字与罗马数字；

3、V+3：英文符号与特殊字母；

4、V+4：日文字符；

5、V+5：日文字符与汉字偏旁；

6、V+6：数学特殊符号与英文特殊符号；

7、V+7：数学特殊符号；

8、V+8：带有声调的韵母与汉字部首偏旁；

9、V+9：特殊分隔符；

10、V+0：只有一个圈〇。

参考资料：百度百科-特殊字符