7.XSS注入

点击跳转到MIDDLE级别

点击跳转到HIGN级别

1.LOW级别:

image.png

--------------------------------------------------------------------------------------------------------------------

2.MIDDLE级别:

对输入进行了过滤，基于黑名单的思想，使用str_replace函数将输入中的

image.png

--------------------------------------------------------------------------------------------------------------

3.HIGN级别:

Hello ${name}

"; } ?>

High级别的代码同样使用黑名单过滤输入，preg_replace() 函数用于正则表达式的搜索和替换，这使得双写绕过、大小写混淆绕过（正则表达式中i表示不区分大小写）不再有效。

避免出现script字样即可

image.png

---

怎么防御XSS攻击？

1.html编码
2.对<，>等进行转义
3.给网站请求加上http-only

---