本文目录一览：
- 1、如何防范XSS跨站脚本攻击测试篇
- 2、javascript 怎么将html字符实体 转换成 正常显示的字符
- 3、如何xss攻击输入经过html编码的网站
- 4、怎样处理html中文乱码问题
- 5、HTML 的实体编码（HTML Entity Encode）
- 6、html文件损坏 如何修复
如何防范XSS跨站脚本攻击测试篇
不可信数据 不可信数据通常是来自HTTP请求的数据，以URL参数、表单字段、标头或者Cookie的形式。不过从安全角度来看，来自数据库、 *** 服务器和其他来源的数据往往也是不可信的，也就是说，这些数据可能没有完全通过验证。 应该始终对不可信数据保持警惕，将其视为包含攻击，这意味着在发送不可信数据之前，应该采取措施确定没有攻击再发送。由于应用程序之间的关联不断深化，下游直译程序执行的攻击可以迅速蔓延。 传统上来看，输入验证是处理不可信数据的更好办法，然而，输入验证法并不是注入式攻击的更佳解决方案。首先，输入验证通常是在获取数据时开始执行的，而此时并不知道目的地所在。这也意味着我们并不知道在目标直译程序中哪些字符是重要的。其次，可能更加重要的是，应用程序必须允许潜在危害的字符进入，例如，是不是仅仅因为SQL认为Mr. O'Malley名字包含特殊字符他就不能在数据库中注册呢? 虽然输入验证很重要，但这始终不是解决注入攻击的完整解决方案，更好将输入攻击作为纵深防御措施，而将escaping作为首要防线。 解码(又称为Output Encoding) “Escaping”解码技术主要用于确保字符作为数据处理，而不是作为与直译程序的解析器相关的字符。有很多不同类型的解码，有时候也被成为输出“解码”。有些技术定义特殊的“escape”字符，而其他技术则包含涉及若干字符的更复杂的语法。 不要将输出解码与Unicode字符编码的概念弄混淆了，后者涉及映射Unicode字符到位序列。这种级别的编码通常是自动解码，并不能缓解攻击。但是，如果没有正确理解服务器和浏览器间的目标字符集，有可能导致与非目标字符产生通信，从而招致跨站XSS脚本攻击。这也正是为所有通信指定Unicode字符编码(字符集)(如UTF-8等)的重要所在。 Escaping是重要的工具，能够确保不可信数据不能被用来传递注入攻击。这样做并不会对解码数据造成影响，仍将正确呈现在浏览器中，解码只能阻止运行中发生的攻击。 注入攻击理论 注入攻击是这样一种攻击方式，它主要涉及破坏数据结构并通过使用特殊字符(直译程序正在使用的重要数据)转换为代码结构。XSS是一种注入攻击形式，浏览器作为直译程序，攻击被隐藏在HTML文件中。HTML一直都是代码和数据最差的mashup，因为HTML有很多可能的地方放置代码以及很多不同的有效编码。HTML是很复杂的，因为它不仅是层次结构的，而且还包含很多不同的解析器(XML、HTML、JavaScript、VBScript、CSS、URL等)。 要想真正明白注入攻击与XSS的关系，必须认真考虑HTML DOM的层次结构中的注入攻击。在HTML文件的某个位置(即开发者允许不可信数据列入DOM的位置)插入数据，主要有两种注入代码的方式： Injecting UP，上行注入 最常见的方式是关闭现有的context并开始一个新的代码context，例如，当你关闭HTML属性时使用"并开始新的 可以终止脚本块，即使该脚本块被注入脚本内 *** 调用内的引用字符，这是因为HTML解析器在JavaScript解析器之前运行。 Injecting DOWN，下行注入 另一种不太常见的执行XSS注入的方式就是，在不关闭当前context的情况下，引入一个subcontext。例如，将改为 ，并不需要躲开HTML属性context，相反只需要引入允许在src属性内写脚本的context即可。另一个例子就是CSS属性中的expression()功能，虽然你可能无法躲开引用CSS属性来进行上行注入，你可以采用x ss:expression(document.write(document.cookie))且无需离开现有context。 同样也有可能直接在现有context内进行注入，例如，可以采用不可信的输入并把它直接放入JavaScript context。这种方式比你想象的更加常用，但是根本不可能利用escaping(或者任何其他方式)保障安全。从本质上讲，如果这样做，你的应用程序只会成为攻击者将恶意代码植入浏览器的渠道。 本文介绍的规则旨在防止上行和下行XSS注入攻击。防止上行注入攻击，你必须避免那些允许你关闭现有context开始新context的字符;而防止攻击跳跃DOM层次级别，你必须避免所有可能关闭context的字符;下行注入攻击，你必须避免任何可以用来在现有context内引入新的sub-context的字符。 积极XSS防御模式 本文把HTML页面当作一个模板，模板上有很多插槽，开发者允许在这些插槽处放置不可信数据。在其他地方放置不可信数据是不允许的，这是“白名单”模式，否认所有不允许的事情。 根据浏览器解析HTML的方式的不同，每种不同类型的插槽都有不同的安全规则。当你在这些插槽处放置不可信数据时，必须采取某些措施以确保数据不会“逃离”相应插槽并闯入允许代码执行的context。从某种意义上说，这种 *** 将HTML文档当作参数化的数据库查询，数据被保存在具体文职并与escaping代码context相分离。 本文列出了最常见的插槽位置和安全放置数据的规则，基于各种不同的要求、已知的XSS载体和对流行浏览器的大量手动测试，我们保证本文提出的规则都是安全的。 定义好插槽位置，开发者们在放置任何数据前，都应该仔细分析以确保安全性。浏览器解析是非常棘手的，因为很多看起来无关紧要的字符可能起着重要作用。 为什么不能对所有不可信数据进行HTML实体编码? 可以对放入HTML文档正文的不可行数据进行HTML实体编码，如 标签内。也可以对进入属性的不可行数据进行实体编码，尤其是当属性中使用引用符号时。但是HTML实体编码并不总是有效，例如将不可信数据放入 directlyinascript insideanHTMLcomment inanattributename ...NEVERPUTUNTRUSTEDDATAHERE...href="/test"/ inatagname 更重要的是，不要接受来自不可信任来源的JavaScript代码然后运行，例如，名为“callback”的参数就包含JavaScript代码段，没有解码能够解决。 No.2 – 在向HTML元素内容插入不可信数据前对HTML解码 这条规则适用于当你想把不可信数据直接插入HTML正文某处时，这包括内部正常标签(div、p、b、td等)。大多数网站框架都有HTML解码的 *** 且能够躲开下列字符。但是，这对于其他HTML context是远远不够的，你需要部署其他规则。 ...ESCAPEUNTRUSTEDDATABEFOREPUTTINGHERE... ...ESCAPEUNTRUSTEDDATABEFOREPUTTINGHERE... 以及其他的HTML常用元素 使用HTML实体解码躲开下列字符以避免切换到任何执行内容，如脚本、样式或者事件处理程序。在这种规格中推荐使用十六进制实体，除了XML中5个重要字符(、、 、 "、 ')外，还加入了斜线符，以帮助结束HTML实体。 -- -- -- "--" '--''isnotrecommended /--/forwardslashisincludedasithelpsendanHTMLentity ESAPI参考实施 Stringsafe=ESAPI.encoder().encodeForHTML(request.getParameter("input")); No.3 – 在向HTML常见属性插入不可信数据前进行属性解码 这条规则是将不可信数据转化为典型属性值(如宽度、名称、值等)，这不能用于复杂属性(如href、src、style或者其他事件处理程序)。这是及其重要的规则，事件处理器属性(为HTML JavaScript Data Values)必须遵守该规则。 contentinsideUNquotedattribute content insidesinglequotedattribute 除了字母数字字符外，使用小于256的ASCII值HH格式(或者命名的实体)对所有数据进行解码以防止切换属性。这条规则应用广泛的原因是因为开发者常常让属性保持未引用，正确引用的属性只能使用相应的引用进行解码。未引用属性可以被很多字符破坏，包括[space] % * + , - / ; = ^ 和 |。 ESAPI参考实施 String safe = ESAPI.encoder().encodeForHTMLAttribute( request.getParameter( "input" ) ); No.4 – 在向HTML JavaScript Data Values插入不可信数据前，进行JavaScript解码 这条规则涉及在不同HTML元素上制定的JavaScript事件处理器。向这些事件处理器放置不可信数据的唯一安全位置就是“data value”。在这些小代码块放置不可信数据是相当危险的，因为很容易切换到执行环境，因此请小心使用。
javascript 怎么将html字符实体 转换成 正常显示的字符
您好，您这样：
html
head
title字符转HTML实体编码/title
script
function $(id) {return document.getElementById(id);}
function htmlEncode(input)
{
var code = input.charCodeAt(); // 获得实体编码
var div = $("divCode");
/*
* 实体编码的格式是：数字;
* 是
* # 是 #
* code 用户输入的字的实体编码
* ; 是 ;
*
* 如果直接写成 "" + code + ";"; 的形式会被浏览器直接解析为对应的字符，从而失去了编码的作用。
*/
div.innerHTML = "" + "#35;" + code + "#59;"; //String.fromCharCode(code); 解码
}
/script
/head
body
input type="text" onchange="htmlEncode(this.value)"/
div id="divCode"/div
/body
/html
使用 String.fromCharCode(code); 便可以将实体编码转换回字符。
如何xss攻击输入经过html编码的网站
div id="main" h1HTML Injection - Reflected (POST)/h1 pEnter your first and last name:/p form action="/bWAPP/htmli_post.php" method="POST" plabel for="firstname"First name:/labelbr / input type="text" id="firstname" name="firstname"/p plabel for="lastname"Last name:/labelbr / input type="text" id="lastname" name="lastname"/p button type="submit" name="form" value="submit"Go/button /form br / Welcome 1234scriptalert(123)/script 123456/div
怎样处理html中文乱码问题
html中文乱码一般都是由于编码不一致导致，一般是代码声明或者浏览器默认的编码与文件保存的实际编码不一致造成的，解决的 *** 就是要代码中声明的代码要和文件保存的编码一致，这样中文就不会出现乱码的现象了。
工具原料：编辑器、浏览器
1、首先在html代码中声明字符集即编码，意思就是告诉浏览器以什么编码来解析本文件，代码如下：
!DOCTYPE html
html
head
meta charset="UTF-8"
title/title
/head
body
p测试中文乱码/p
/body
/html
2、以上代码的中的meta charset="UTF-8"就是声明字符集使用的utf-8。
3、声明字符集后浏览器解析的时候就会以声明的字符集去解析文档，但是要保证解析的不乱码，就要保证文件保存时候的编码格式和声明的格式一致才行，如下图：
4、选择一致的utf-8编码后保存，运行的时候就可以保证中文不会乱码了，如下图：
HTML 的实体编码（HTML Entity Encode）
以上列出的一些实体比较容易记忆，但有一些不容易记住的您可以查看 whatwg 或使用 解码工具 。
HTML 实体是一段以连字符号（ ）开头、以分号（ ; ）结尾的字符串。用以显示不可见字符及保留字符（如 HTML 标签）
在前端，一般为了避免 XSS 攻击，会将 编码为 与 ，这些就是 HTML 实体编码。
在 HTML 转义时，仅仅只需要对六个字符进行编码： 、 、 、 " 、 ' 和 `。我们可以使用 he 库进行编码及转义。
html文件损坏 如何修复
页面文件损坏，一般有以下几种情况：
一，网站被入侵。
被添加了木马、病毒，破坏了页面语言结构，需要通过FTP工具，或进入服务器删除。
二、前端页面部分代码编写错误。
一般是误操作所致，或页面编写的不规范。熟悉页面编码的，进入代码进行修改。
三、模板文件错误。
编写不规范，调用语句错误导致。页面模板文件错误，需要熟悉网站程序的标签语言进行修改。
四、网站程序编译错误。
需要熟悉网站底层程序源码，进行查找修改。
五、数据库损坏，需要修改数据库。
常见的错误是调用的数据被删除，数据库连接错误、数据库崩溃。更好的预防方式是做数据的备份，即使进行数据还原。
六、硬盘坏道，导致存储在该位置的网页文件信息丢失。
重新生成页面文件。
七、硬盘格式化找回，往往会有数据丢失，不能够100%还原。
更好的方式是寻找备份文件进行恢复。或者依照以前的样式进行重新设计 *** 。
总结：在做网站编辑或维护的时候，更好要经常做备份，使用备份恢复是简洁快速的处理手段。