本文目录一览：
- 1、include包含头文件的语句中,双引号和尖括号的区别是什么?
- 2、WAF防护有没有什么好的推荐
- 3、html语言中, 与与它们分别指的是什么呀?我总是不明白呀.给我说说用法行吗？
- 4、在PHP的CI框架中，kindeditor自动过滤尖括号，怎么办？
- 5、渗透测试需要学那些知识？
include包含头文件的语句中,双引号和尖括号的区别是什么?
双引号表示先在程序源文件所在目录查找，如果未找到则去系统默认目录查找，通常用于包含程序作者编写的头文件;
尖括号表示只在系统默认目录或者括号内的路径查找，通常用于包含系统中自带的头文件;尖括号：
在包含文件目录中去查找(包含目录是由用户在设置环境时设置的)，而不在源文件目录去查找；
双引号：
首先在当前的源文件目录中查找，若未找到才到包含目录中去查找。
详解：
预处理器发现 #include 指令后，就会寻找后跟的文件名并把这个文件的内容包含到当前文件中。被包含文件中的文本将替换源代码文件中的#include指令，就像你把被包含文件中的全部内容键入到源文件中的这个位置一样。
#include 指令有两种使用形式
#include stdio.h 文件名放在尖括号中
#include “mystuff.h” 文件名放在双引号中
尖括号 和 括起来表明这个文件是一个工程或标准头文件。查找过程会检查预定义的目录，我们可以通过设置搜索路径环境变量或命令行选项来修改这些目录。
如果文件名用一对引号括起来则表明该文件是用户提供的头文件，查找该
文件时将从当前文件目录（或文件名指定的其他目录）中寻找文件，然后再在标准位置寻找文件。
为什么要包含文件呢？
因为这些文件包含了编译器所需的信息。例如，stdio.h文件通常包含EOF,NULL,
getchar()和putchar()的定义。
包含大型头文件并不一定显著增加程序的大小。很多情况下，头文件中的内容是编译器产生最终代码所需的信息，而不是加到最终代码里的具体语句。
被包含的文件还可以含有#include 指示符，由于嵌套包含文件的原因，一个头文件可能会被多次包含在一个源文件中，条件指示符可防止这种头文件的重复处理。
例如：
#ifndef BOOKSTORE_H
#define BOOKSTORE_H
#endif
条件指示符#ifndef 检查BOOKSTORE_H 在前面是否已经被定义，这里BOOKSTORE_H是一个预编译器常量习惯上预编译器常量往往被写成大写字母，如BOOKSTORE_H在前面没有被定义，则条件指示符的值为真于是从#ifndef 到#endif 之间的所有语句都被包含进来进行处理。相反，如果#ifndef 指示符的值为假则它与#endif 指示符之间的行将被忽略，为了保证头文件只被处理一次，把如下#define 指示符
#define BOOKSTORE_H
放在#ifndef 后面，这样在头文件的内容之一次被处理时，BOOKSTORE_H 将被定义
从而防止了在程序文本文件中以后#ifndef指示符的值为真。
只要不存在两个必须包含的头文件要检查一个同名的预处理器常量这样的情形，这个策略就能够很好地运作。#ifdef 指示符常被用来判断一个预处理器常量是否已被定义以便有条件地包含程序代码。
WAF防护有没有什么好的推荐
在又拍云的云安全类别中，WAF防护是其中之一的功能，WAF主要防护的是来自对网站源站的动态数据攻击，可防护的攻击类型包括SQL注入、XSS攻击、CSRF攻击、恶意爬虫、扫描器、远程文件包含等攻击。
SQL注入攻击（SQL Injection），
简称注入攻击，是Web开发中最常见的一种安全漏洞。可以用它来从数据库获取敏感信息，或者利用数据库的特性执行添加用户，导出文件等一系列恶意操作，甚至有可能获取数据库乃至系统用户更高权限。
如何预防SQL注入
也许你会说攻击者要知道数据库结构的信息才能实施SQL注入攻击。确实如此，但没人能保证攻击者一定拿不到这些信息，一旦他们拿到了，数据库就存在泄露的危险。如果你在用开放源代码的软件包来访问数据库，比如论坛程序，攻击者就很容易得到相关的代码。如果这些代码设计不良的话，风险就更大了。目前Discuz、phpwind、phpcms等这些流行的开源程序都有被SQL注入攻击的先例。
这些攻击总是发生在安全性不高的代码上。所以，永远不要信任外界输入的数据，特别是来自于用户的数据，包括选择框、表单隐藏域和 cookie。就如上面的之一个例子那样，就算是正常的查询也有可能造成灾难。
SQL注入攻击的危害这么大，那么该如何来防治呢?下面这些建议或许对防治SQL注入有一定的帮助。
1、严格限制Web应用的数据库的操作权限，给此用户提供仅仅能够满足其工作的更低权限，从而更大限度的减少注入攻击对数据库的危害。
2、检查输入的数据是否具有所期望的数据格式，严格限制变量的类型，例如使用regexp包进行一些匹配处理，或者使用strconv包对字符串转化成其他基本类型的数据进行判断。
3、对进入数据库的特殊字符（'"\尖括号*;等）进行转义处理，或编码转换。Go 的text/template包里面的HTMLEscapeString函数可以对字符串进行转义处理。
4、所有的查询语句建议使用数据库提供的参数化查询接口，参数化的语句使用参数而不是将用户输入变量嵌入到SQL语句中，即不要直接拼接SQL语句。例如使用database/sql里面的查询函数Prepare和Query，或者Exec(qu
html语言中, 与与它们分别指的是什么呀?我总是不明白呀.给我说说用法行吗？
html/html 创建一个HTML文档
head/head 设置文档标题和其它在网页中不显示的信息
title/title 设置文档的标题
h1/h1 更大的标题
pre/pre 预先格式化文本
u/u 下划线
b/b 黑体字
i/i 斜体字
tt/tt 打字机风格的字体
cite/cite 引用,通常是斜体
em/em 强调文本(通常是斜体加黑体)
strong/strong 加重文本(通常是斜体加黑体)
font size="" color=""/font 设置字体大小从1到7，颜色使用名字或RGB的十六进制值
BASEFONT/BASEFONT 基准字体标记
big/big 字体加大
*** ALL/ *** ALL 字体缩小
STRIKE/STRIKE 加删除线
CODE/CODE 程式码
KBD/KBD 键盘字
SAMP/SAMP 范例
VAR/VAR 变量
BLOCKQUOTE/BLOCKQUOTE 向右缩排
DFN/DFN 述语定义
ADDRESS/ADDRESS 地址标记
sup/SUP 上标字
SUB/SUB 下标字
xmp.../xmp固定宽度字体(在文件中空白、换行、定位功能有效)
plaintext.../plaintext固定宽度字体(不执行标记符号)
listing.../listing 固定宽度小字体
font color=00ff00.../font字体颜色
font size=1.../font最小字体
font style ='font-size:100 px'.../font无限增大
◆◆◆◆◆◆◆◆◆◆◆◆◆◆《〈格式标志〉》◆◆◆◆◆◆◆◆◆◆◆◆
p/p 创建一个段落
p align="" 将段落按左、中、右对齐
br换行 插入一个回车换行符
blockquote/blockquote 从两边缩进文本
dl/dl 定义列表
dt 放在每个定义术语词前
dd 放在每个定义之前
ol/ol 创建一个标有数字的列表
ul/ul 创建一个标有圆点的列表
li 放在每个列表项之前,若在ol/ol之间则每个列表项加上一个数字,
若在ul/ul之间则每个列表项加上一个圆点
div align=""/div 用来排版大块HTML段落,也用于格式化表
MENU 选项清单
DIR 目录清单
nobr/nobr 强行不换行
hr size='9' width='80%' color='ff0000'水平线(设定宽度)
center/center 水平居中
◆◆◆◆◆◆◆◆◆《〈链接标志表格标志〉》◆◆◆◆◆◆◆◆◆◆◆◆◆◆
a href="URL"/a 创建超文本链接
a href="mailtEMAIL"
/a 创建自动发送电子邮件的链接
a name="name"/a 创建位于文档内部的书签
a href="#name"/a 创建指向位于文档内部书签的链接
BASE 文档中不能被该站点辨识的其它所有链接源的URL
LINK 定义一个链接和源之间的相互关系
◆◆◆◆◆◆◆◆链接标记注解：◆◆◆◆◆◆◆◆◆◆◆◆
◆target="..."决定链接源在什么地方显示(用户自定义的名字，_blank,_parent,_self,_top
◆rel="..."发送链接的类型
◆rev="..."保存链接的类型
◆accesskey="..."指定该元素的热键
◆shape="..."允许我们使用已定义的形状定义客户端的图形镜像(default，rect，circle，poly
◆coord="..."使用像素或者长度百分比来定义形状的尺寸
◆tabindex="..."使用定义过的tabindex元素设置在各个元素之间的焦点获取顺序(使用tab键使元素获得焦点)
◆◆◆◆◆◆◆◆表格标记注解：◆◆◆◆◆◆◆◆◆◆◆◆
table/table 创建一个表格
tr/tr 表格中的每一行
td/td 表格中一行中的每一个格子
th/th 设置表格头:通常是黑体居中文字
table cellspacing="" 设置表格格子之间空间的大小
table border="" 设置边框的宽度
table cellpadding="" 设置表格格子边框与其内部内容之间空间的大小
table width="" 设置表格的宽度。用绝对像素值或总宽度的百分比
table align="" 设置表格格子的水平对齐方式(left,center,right,justify)
tr align="" 设置表格格子的水平对齐方式(left,center,right,justify)
tr valign="" 设置表格格子的垂直对齐方式(baseline,bottom,middle,top)
td colspan="" 设置一个表格格子跨占的列数(缺省值为1)
td rowspan="" 设置一个表格格子跨占的行数(缺省值为1)
td nowrap 禁止表格格子内的内容自动断行
CAPTION/CAPTION 表格的标题
COLGROUP/COLGROUP 定义多个列为一组列
TABLE/TABLE 创建一个表格
THEAD/THEAD 定义表格的页眉
COL 定义一个列组中的列，以便对它们能够同时设置有关属性
TBODY/TBODY 定义一个表格的实体
TFOOT/TFOOT 定义一个表格的页脚
◆◆◆◆◆◆◆◆◆◆◆◆《表单标志》◆◆◆◆◆◆◆◆◆◆◆
form/form 创建表单
action="..."接收数据的服务器的URL
method="..."HTTP的 *** (get, post)。其中get是被反对使用的
enctype="..."指定MIME(Internet媒体类型)
onsubmit="..."当提交表单时发生的内部事件
noreset="..."在重新设置表单时发生的内部事件
target="..."决定把内容显示在什么地方(_blank, _parent, _self, _top
select multiple name="name" size=""/select 创建滚动菜单,size设置在需要滚动前可以看到的表单项数目 option 设置每个表单项的内容
select name="name"/select 创建下拉菜单
textarea name="name" cols=40 rows=8/textarea 创建一个文本框区域,列的数目设置宽度,行的数目设置高度
input type="checkbox" name="name" 创建一个复选框,文字在标签后面
input type="radio" name="name" value="" 创建一个单选框,文字在标志后面
input type=text name="foo" size=20 创建一个单行文本输入区域,size设置以字符串的宽度中国站长之一门户
input type="submit" value="name" 创建提交(submit)按钮
input type="image" border=0 name="name" src="name.gif" 创建一个使用图象的提交(submit)按钮 input type="reset" 创建重置(reset)按钮
BUTTON/BUTTON 创建一个按钮
disabled="..."把按钮的状态设置为不能
name="..."按钮的控制名 value="..."按钮的值
type="..."按钮的类型(button, submit, reset)
FIELDSET/FIELDSET 把相互关联的控件组合成一组
ISINDEX 提示用户输入
LABEL/LABEL 为一个控件提供标签
LEGEND/LEGEND 为FIELDSET元素指定一标题中国站长之一门户
SELECT/SELECT 为用户做选择创建各个选项
TEXTAREA/TEXTAREA 创建一个允许用户多行输入的区域
◆◆◆◆◆◆◆◆◆◆◆◆◆◆表单注解：◆◆◆◆◆◆◆◆◆◆◆◆◆◆
type="..."用于输入控件的类型(text,password,checkbox,radio,submit,reset,file,hidden,image,button)
name="..."控件的控制名(要求是除了submit和reset之外的任何名字)
value="..."控件的初始值
checked="..."把一个单选钮设置为选中的状态
disabled="..."把控件的状态设置为不能使用
readonly="..."只对输入密码的文本框使用
size="..."表示以像素为单位的除了文本框和密码框控件之外的其它控件的宽度，它是用来指定字符的数目 src="..."一个图像控件的URL
maxlength="..."指定可以输入的最多的字符数目
alt="..."另外一种文本描述
usemap="..."到客户端图形镜像的URL
align="..."被反对。控制对齐方式(left, center, right, justify)
tabindex="..."通过定义的tabindex值确定在不同元素之间获得焦点的顺序
onfocus="..."当元素获得焦点时发生的事件
onblur="..."当元素失去焦点时发生的事件
onselect="..."当元素被选中时发生的事件
onchang="..."当元素状态被改变时发生的事件
accept="..."允许上载的文件类型
◆◆◆◆◆◆◆◆◆◆◆◆◆◆《帧标志》◆◆◆◆◆◆◆◆◆◆◆◆◆◆
frameset/frameset 放在一个帧文档的body标签之前,也可以嵌在其他帧文档中中国站长之一门户
frameset rows="value,value" 定义一个帧内的行数,可以使用绝对像素值或高度的百分比
frameset cols="value,value" 定义一个帧内的列数,可以使用绝对像素值或宽度的百分比
frame 定义一个帧内的单一窗或窗区域
noframes/noframes 定义在不支持帧的浏览器中显示什么提示
frame src="URL" 规定帧内显示的HTML文档
frame name="name" 命名帧或区域以便别的帧可以指向它
frame marginwidth="" 定义帧左右边缘的空白大小,必须大于等于1
frame marginheight="" 定义帧上下边缘的空白大小,必须大于等于1
frame scrolling="" 设置帧是否有滚动栏,其值可以是"yes","no" 或"auto"
frame noresize 禁止用户调整一个帧的大小
IFRAME/IFRAME 创建一个内联的帧
scr="..."定义在帧中显示的内容的来源
frameborder="..."定义帧之间的边界(0或1)
align="..."被反对。控制对齐方式(left, center, right, justify)
height="..."帧的高度 width="..."帧的宽度
marquee.../marquee普通卷动
marquee behavior=slide.../marquee滑动
marquee behavior=scroll.../marquee预设卷动中国站长之一门户
marquee behavior=alternate.../marquee来回卷动
marquee direction=down.../marquee向下卷动
marquee direction=up.../marquee向上卷动
marquee direction=right/marquee向右卷动
marquee direction='left'/marquee向左卷动
marquee loop=2.../marquee卷动次数
marquee width=180.../marquee设定宽度
marquee height=30.../marquee设定高度
marquee bgcolor=FF0000.../marquee设定背景颜色
marquee scrollamount=30.../marquee设定卷动距离
marquee scrolldelay=300.../marquee设定卷动时间
img src="" 插入图片，参数有:width="宽",alt="说明文字",height="高",boder="边框"
◆◆◆◆◆◆◆◆◆◆◆◆◆◆《 文档整体属性标志》◆◆◆◆◆◆◆◆◆◆◆◆◆◆
body bgcolor="" 设置背景颜色。使用名字或RGB的十六进制值
body background="" 设置背景图片中国站长之一门户
body bgsound="" 设置背景音乐
body bgproperties="fixed"
固定背景图片（IE适用）
body text="" 设置文本颜色。使用名字或RGB的十六进制值
body link="" 设置链接颜色。使用名 字或RGB的十六进制值
body vlink="" 设置已使用的链接的颜色。使用名字或RGB的十六进制值
body alink="" 设置正在被击中的链接的颜色。使用名字或RGB的十六进制值
body topmargin="" 设置页面的上边距 body leftmargin="" 设置页面的左边距中国站长之一门户
在PHP的CI框架中，kindeditor自动过滤尖括号，怎么办？
你看看application/config/config.php 文件启用了 XSS 过滤
$config['global_xss_filtering'] = TRUE;
或者您 $this-input-post( 'c', TRUE );
都会自动过滤一些特殊附号的。
渗透测试需要学那些知识？
web黑客渗透测试入门需要学哪些？
学习web渗透，就是从零散到整体。我们入门门槛比较低，学会用工具就可以了。但是从入门到另一个层次就比较难了，也是大部分脚本小子迷茫的地方。
在web渗透的核心那就是思路，大量的思路来源是来自于自己的知识积累和丰富的经验。 学而不思则罔思而不学则殆。
当我找到了一个注入点：
首先放进工具一点，工具提示不存在注入。很奇怪，明明是存在的，发个某大牛，某大你不想说话并向你扔了个链接，你发现居然爆出了帐号密码。
太多的人都是处于这个超级小白阶段，这个阶段处于菜鸟阶段，我称为打哪是哪。
我来问问：
brup suite你会用？你会用来做什么，爆破？你知道怎么抓包分析post注入吗？你知道绕过上传时brup suite的神奇之处吗？
sqlmap 你会用？你会用来做什么，-u？-dbs？你知道怎么在sqlmap中执行sql语句吗？你知道sqlmap怎么反弹shell吗？
xss 你都懂？你知道xss平台那么多模块都有什么妙用吗？你知道尖括号过滤都有哪些绕过方式吗？
入门学习思考 可能遇到的问题 和新手需知：
你知道svn源代码泄露是什么？通过审计代码能做到什么吗？
你知道在发现st2漏洞命令执行时出现目录限制的时候怎么突破吗？有多少种方式可以突破，在什么样的场景下容易出现，如果有杀软怎么绕过吗？
你知道在3306允许外链的情况下可以爆破吗？你以为扫描器会把端口的风险都列出来给你吗？
你知道一个缜密的邮箱伪造社工可能就能导致网站沦陷吗？
你知道遇到weblogic等弱口令的时候如何去部署war拿shell吗？
你知道各种java中间件的端口是哪些吗？各种反序列化漏洞是怎么样快速定位数据库配置文件的吗？
你知道填充Oracle漏洞的利用 *** 吗？你知道扫描器都是误报吗？你知道手工怎么测试漏洞真实存在吗？
你知道oa系统都有哪些通用注入和无限制getshell吗？
你知道phpmyadmin可以爆破吗？什么样的版本可以爆路径，什么样的版本几乎拿不到shell吗？
太多太多了，我上面提到的也只是web方面的冰山一角，后面的提权、内网等等难题如海。
