XSS漏洞

http://www.xssxss.com/fuck/category/xss-code
http://www.gesong.org/articles/2012/01/06/1325841411074.html
近期公司的一个电商项目发布，黑盒测试真是bug一大堆，其中xss--跨站脚本攻击  尤为严重。废话少说罗列测试报告中的几点。
1、页面惨遭“框架钓鱼”在后台登陆页面里，莫名的出现百度的首页，嵌套进来的。
经分析 因为后台登陆页面有记录用户名的功能，在登陆失败后，返回重新登陆。但是此时用户名已经是读取前一次输入的字符串。关键在此，第一次用户名输入的是
      

    "testname" ><ifream src="http://www.baidu.com"/>

当页面返回重新登陆时，页面
原本的文本框：

<input type="text"  value=$username>

变成

<input type="text"  value= "testname" ><ifream src="http://www.baidu.com/">
 >

这就是XSS漏洞典型的例子。
解决方法，可以对输入的内容进行转译，把里面的< ' " 等一些html页面相关的特殊符号转译，在页面读取他们的时候只是把它当做一个普通的字符串，而不会去解析他们。
php语言一般用htmlspecialchars 或 htmlentities转化。
对于htmlspecialchars 和 htmlentities 的区别请看
http://www.21andy.com/blog/20100310/1770.html

http://softtest.chinaitlab.com/baihe/830201.html

Web 应用的安全性是一个很重要、覆盖范围很广泛的主题。为了防止常见的 XSS 的攻击，Web 开发人员必须明白不能仅仅只在客户端使用 JavaScript 对输入进行检测、过滤；同时还应建立服务器端的输入校验、输出编码库函数；在服务器端检测、过滤输入；根据动态内容所处的背景将特殊字符进行编码后再传送给浏览器端显示。