本文目录一览：
火狐xsseb插件怎么使用？
Quick Translator对谷歌翻译返回未经过滤直接输出，导致XSS
不知道什么原因，直接翻译script标签是不行的，所以需要借助img等其他标签。Quick Translator默认设置为检测语言，而谷歌翻将英文翻译成中文时会将引号转换为全角，并在其他符号后面加空格，所以需要加上一些中文字符让谷歌翻译认为提交的是中文。
说了这么多，看个例子吧，以下代码用Quick Translator翻译从中文翻译到英文会弹框（右键翻译和在对话框输入是一样的）。
img src='#' alt='中文中文中文中文中文中文中文中文中文中文中文中文中文中文中文' onerror='javascript：alert(document.domain)'/
由于没有人会憨厚到选中代码翻译，所以需要将这段代码隐藏起来，同时不影响选中。仿照论坛复制干扰码，将其进行html转义后放在一个指定文字大小为0px的span中;同时，由于实际触发点位于右下角翻译结果处，为了隐藏图片需要给图片加上display:none样式;最后，将这段代码插在一段很少有人认识的语言中，例如الاشتراكية جيدة ，使得别人可能会去翻译这句话。
最后的poc如下：
الاشتراكية جيدة span style="font-size:0px;"img src='#' alt='中文中文中文中文中文中文中文中文中文中文中文中文中文中文中文中文中文中文中文' style='display:none' onerror='javascript：alert(document.domain)'/span الاشتراكية جيدة br
可以在某些公共博客、论坛之类发个吸引人的帖子，然后引用一段官方的“原话”作为证据（选个较为少见的语种，比如德语意大利语之类），并在其中插入代码。
例子：躺中枪的某程序猿博客
要是以“nodejs进阶技巧”等热点技术发个帖，并在资料引用处插入poc，会有多少人中招？
修复方案：
prexmpxxx/xmp/pre
跨站脚本攻击（XSS）alert(42873)
网站防SQL注入的代码有吧？
类似这样的code_string="',;,and,exec,insert,select,count,*,chr,asc,master,truncate,char,declare,net user,xp_cmdshell,/add,drop,from"
在代码里边再加几个：,%20,,我就是这么解决的
asp网站如何防止XSS攻击
asp中防止xss攻击的 *** 如下：
确保所有输出内容都经过 HTML 编码。
禁止用户提供的文本进入任何 HTML 元素属性字符串。
根据 msdn.microsoft.com/library/3yekbd5b 中的概述，检查 Request.Browser，以阻止应用程序使用 Internet Explorer 6。
了解控件的行为以及其输出是否经过 HTML 编码。如果未经过 HTML 编码，则对进入控件的数据进行编码。
使用 Microsoft 防跨站点脚本库 (AntiXSS) 并将其设置为您的默认 HTML 编码器。
在将 HTML 数据保存到数据库之前，使用 AntiXSS Sanitizer 对象（该库是一个单独的下载文件，将在下文中介绍）调用 GetSafeHtml 或 GetSafeHtmlFragment；不要在保存数据之前对数据进行编码。
对于 Web 窗体，不要在网页中设置 EnableRequestValidation=false。遗憾的是，Web 上的大多数用户组文章都建议在出现错误时禁用该设置。该设置的存在是有原因的，例如，如果向服务器发送回“X”之类的字符组合，该设置将阻止请求。如果您的控件将 HTML 发送回服务器并收到图 5 所示的错误，那么理想情况下，您应该在将数据发布到服务器之前对数据进行编码。这是 WYSIWYG 控件的常见情形，现今的大多数版本都会在将其 HTML 数据发布回服务器之前对该数据进行正确编码。
对于 ASP.NET MVC 3 应用程序，当您需要将 HTML 发布回模型时，不要使用 ValidateInput(false) 来关闭请求验证。只需向模型属性中添加 [AllowHtml] 即可，如下所示：
public class BlogEntry
{
public int UserId {get;set;}
[AllowHtml]
public string BlogText {get;set;}
}