怎么规避fortify测试到XSS漏洞
使用微软的 反XSS类库 就得了。替换字符就能防御， CSDN就不被黑了。以前久不久就被XSS。还有16进制也要防御。
基于特征的防御。XSS漏洞和著名的SQL注入漏洞一样，都是利用了Web页面的编写不完善，所以每一个漏洞所利用和针对的弱点都不尽相同，这就是给XSS漏洞防御带来的困难，不可能以单一特征来概括所有XSS攻击。
xss漏洞防御 *** 有输入过滤、纯前端渲染、转义HTML和标签和属性基于白名单过滤。输入过滤：有时候需要多次过滤，例如script过滤掉后还是，需要注意多个过滤器的先后次序。
XSS攻击 *** 只是利用HTML的属性，作各种的尝试，找出注入的 *** 。现在对三种主要方式进行分析。之一种：对普通的用户输入，页面原样内容输出。
这个问题很简单，本质原因是你在拼接路径的时候没有限制用户输入“..\ 或者../。 这个作用就是退回到上一级目录，导致用户可以任意访问他想要的路径。
哪有放XSS跨站脚本工具的第三方工具/
总结一下，要防止XSS跨站式脚本攻击主要是要在查询字符串(QueryString)，表单数据(PostData)以及Cookie甚至HTTP报头(Header)中防止掉一些javascript关键字和一些敏感的字符(单引号，分号)以及SQL语言的关键字，以及防止他们使用encode编码。
打开腾讯电脑管家——工具箱——修复漏洞，进行漏洞扫描和修复。
跨站点脚本（XSS）允许攻击者通过利用因特网服务器的漏洞来发送恶意代码到其他用户。攻击者利用跨站点脚本（XSS）攻击向那些看似可信任的链接中注入恶意代码。
关闭 *** 如下：打开华为手机，点击手机的浏览器。在手机浏览器界面，点击下方的主菜单。在主菜单界面，点击设置，进入设置界面。在设置界面，选择高级设置。在高级设置里面，找到之一个选项启用插件。
辨认常见扫描器比如safe3wvs、awvs、appscan的特征，识别后直接封对方ip，另外还有对连接数进行限制、出错次数过多则禁止连接等措施，防护xss攻击则要过滤“”等危险字符及其他变形，过滤得越细致越安全。
不可信数据 不可信数据通常是来自HTTP请求的数据，以URL参数、表单字段、标头或者Cookie的形式。不过从安全角度来看，来自数据库、 *** 服务器和其他来源的数据往往也是不可信的，也就是说，这些数据可能没有完全通过验证。
跨站脚本攻击的预防
防止跨站点脚本攻击的解决 *** ：输入过滤对每一个用户的输入或者请求首部，都要进行过滤。这需要程序员有良好的安全素养，而且需要覆盖到所有的输入源。而且还不能够阻止其他的一些问题，如错误页等。
这种攻击对服务器没有多大危害，但对用户危害很大，要防范这种攻击应该在设计网站的时候对用户提交的内容进行严格的过滤。
一些通常的跨站点脚本预防的更佳实践包括在部署前测试应用代码，并且以快速、简明的方式修补缺陷和漏洞。Web应用开发人员应该过滤用户的输入来移除可能的恶意字符和浏览器脚本，并且植入用户输入过滤代码来移除恶意字符。
下列规则旨在防止所有发生在应用程序的XSS攻击，虽然这些规则不允许任意向HTML文档放入不可信数据，不过基本上也涵盖了绝大多数常见的情况。你不需要采用所有规则，很多企业可能会发现之一条和第二条就已经足以满足需求了。
跨站脚本(XSS)XSS漏洞是最普遍和最致命的 *** 应用软件安全漏洞，当一款应用软件将用户数据发送到不带认证或者不对内容进行编码的 *** 浏览器时容易发生。
如果一台 Web Server 支持 Trace 和 / 或 Track 方式，那么它一定存在跨站脚本漏洞，将有可能受到跨站攻击。 Trace 和 Track 是用来调试 Web 服务器连接的 HTTP 方式。
XSS跨站脚本攻击剖析与防御的作品目录
第8章 防御XSS攻击，介绍了一些防范XSS攻击的 *** ，例如，运用XSS Filter进行输入过滤和输出编码，使用Firefox浏览器的Noscript插件抵御XSS攻击，使用HTTP-only的Cookies同样能起到保护敏感数据的作用。
XSS攻击的定义 跨站脚本英文名称是（Cross Site Script），为了与层叠样式表（Cascading Style Sheets）区分，故命名为XSS。
不可信数据 不可信数据通常是来自HTTP请求的数据，以URL参数、表单字段、标头或者Cookie的形式。不过从安全角度来看，来自数据库、 *** 服务器和其他来源的数据往往也是不可信的，也就是说，这些数据可能没有完全通过验证。
客户端跨站脚本攻击的分层防御策略是基于独立分配线程和分层防御策略的安全模型。它建立在客户端，这是它与其他模型更大的区别。之所以客户端安全性如此重要，客户端在接受服务器信息，选择性的执行相关内容。
在访问量极大的一些页面上的XSS可以攻击一些小型网站，实现DDoS攻击的效果。
跨站点脚本（XSS）允许攻击者通过利用因特网服务器的漏洞来发送恶意代码到其他用户。攻击者利用跨站点脚本（XSS）攻击向那些看似可信任的链接中注入恶意代码。
如何在jetty服务器层面解决XSS漏洞?
那就写个过滤器，把有小于号大于号等等，与标签或者SQL有关的全部替换，然后再存进数据库。具体换成什么，自己决定吧。
Xss漏洞主要利用的是把输出的内容信息转化成脚本信息，这就需要把输出信息做过滤，这方面的过滤API可以考虑OWASP的ESAPI。这个API有面向ASP的版本，去OWASP官网去找吧。
对所有用户提交内容进行可靠的输入验证，包括对URL、查询关键字、HTTP头、POST数据等，仅接受指定长度范围内、采用适当格式、采用所预期的字符的内容提交，对其他的一律过滤。
手动测试或使用工具。通过手动输入一些特殊字符或者恶意脚本，观察网站的响应情况，判断是否存在XSS漏洞。使用一些自动化测试工具，如BurpSuite、OWASPZAP等，对网站进行扫描，自动化地发现漏洞。