xss学习笔记2 存储型Stored Cross Site Scripting (XSS)

low
$message = stripslashes( $message ); $message = mysql_real_escape_string( $message );
stripslashes() 函数删除由 [addslashes()]函数添加的反斜杠
mysql_real_escape_string() 函数转义 SQL 语句中使用的字符串中的特殊字符，如 \n \r \ ' " 等
在这里面并没有真正过滤跟 有关的东西，
所以直接输入即可

medium
$message = strip_tags( addslashes( $message ) ); $message = mysql_real_escape_string( $message ); $message = htmlspecialchars( $message ); $name = str_replace( '

High
$message = strip_tags( addslashes( $message ) ); $message = mysql_real_escape_string( $message ); $message = htmlspecialchars( $message ); $name = preg_replace( '/<(.*)s(.*)c(.*)r(.*)i(.*)p(.*)t/i', '', $name );name用正则过滤了