xss filter绕过技巧

首先提一句，绕过filter的技巧前提是其没有过滤完全

比如：

 

<div> <?php echo htmlspecialchars($_POST['xss']); ?> </div>

这种就根本没法操作了

 

看完《白帽子讲web安全》xss一篇，简单总结一些常用的可能存在的技巧：

转换大小写

大小写混写

双引号改单引号

引号改为/

用全角字符

使用javascript伪协议

使用回车、空格等特殊字符

在css的style中使用/**/注释符

使用字符编码

利用事件触发xss