求xss绕开htmlspecialchars过滤原理

Question

最近在看网站安全方面的东西。看到xss时，有些资料说，绕过htmlspecialchars的过滤是非常简单的。请问有哪些方法可以绕过htmlspecialchars来攻击网站，对应的又该怎么防范呢？最好是能够系统的总结一下。

Answer 1

你要说出哪些方法可以绕过htmlspecialchars的过滤，人家才好给出防范措施啊。

Answer 2

XSS攻击的核心就是靠HTML<script>标签或元素属性来执行Javascript脚本。
而 htmlspecialchars 则可以转转义 <> 这样就无法通过script标签攻击。同时又可以过滤掉双引号，单引号(需要另外加个参数)，阻止靠元素属性来触发事件执行脚本

Answer 3

大家可参考此文章http://www.2cto.com/Article/200904/37588.html最后一段话的说法