整合營銷服務商
電腦端+手機端+微信端=數據同步管理
免費咨詢熱線：
電腦端+手機端+微信端=數據同步管理
免費咨詢熱線：
XSS全名：Cross-Site-Scripting, 理論上縮小應該為 CSS 但為了和 CSS（層疊樣式表）進行區分，改了個名字叫XSS.
XSS攻擊通常指的是通過利用網頁開發時留下的漏洞，通過巧妙的方法注入惡意指令代碼到網頁，使用戶加載并執行攻擊者惡意制造的網頁程序。這些惡意網頁程序通常是JavaScript，但實際上也可以包括Java、 VBScript、ActiveX、 Flash 或者甚至是普通的HTML。攻擊成功后，攻擊者可能得到包括但不限于更高的權限（如執行一些操作）、私密網頁內容、會話和cookie等各種內容
HTML是一種超文本標記語言，通過將一些字符特殊地對待來區別文本和標記，例如，小于符號（<）被看作是HTML標簽的開始，<title>與</title>之間的字符是頁面的標題等等。當動態頁面中插入的內容含有這些特殊字符（如<）時，用戶瀏覽器會將其誤認為是插入了HTML標簽，當這些HTML標簽引入了一段JavaScript腳本時，這些腳本程序就將會在用戶瀏覽器中執行。所以，當這些特殊字符不能被動態頁面檢查或檢查出現失誤時，就將會產生XSS漏洞。
與釣魚攻擊相比，XSS攻擊所帶來的危害更大，通常具有如下特點：
①由于XSS攻擊在用戶當前使用的應用程序中執行，用戶將會看到與其有關的個性化信息，如賬戶信息或“歡迎回來”消息，克隆的Web站點不會顯示個性化信息。
②通常，在釣魚攻擊中使用的克隆Web站點一經發現，就會立即被關閉。
③許多瀏覽器與安全防護軟件產品都內置釣魚攻
若我們在評論里輸入了一段可執行的javascr，讓他彈出 OK，當把評論提交后，如果沒有網站沒有做字符的過濾處理的話，那么我們提交的腳本就會加載到頁面里，但是別忘了他是一個JS的alert方法，然后大家一打開評論頁面就會彈出 OK.
可能的幾種XSS注入方式
XSS腳本攻擊防御方式：
G版本通用外掛開發 UG Open/Grip 教程
$$ 注釋
$$ Grip啟動和編譯：先找到UG的安裝路徑，如C:\Program Files\EDS\Unigraphics NX。
$$ 進入該路徑下的UGOPEN目錄，找到grade.bat文件，打開它，將環境變量base_dir
$$ 設置成set base_dir=C:\Program Files\EDS\Unigraphics NX，保存并運行。
$$ Grip程序的編寫和編譯：在Grip的運行程序中，鍵入4，將你編寫的Grip程序所在的目
$$ 錄寫入并回車。在Grip的運行程序中，鍵入1，寫入新建Grip程序的文件名并回車,此時
$$ Grip會打開寫字板，你可以在其中寫入你的程序。在Grip的運行程序中，鍵入2，寫入
$$ 所編譯的文件名，編譯無錯后，鍵入3，寫入所鏈接的文件名，鏈接無錯后完成。
$$ 你所編寫的Grip程序保存成*.grs文件，編譯后Grip會生成*.gri文件，鏈接后Grip會
$$ 生成*.grx文件，此文件為Grip的運行文件。
$$ Grip程序的運行：打開UG，點擊File->Execute->Grip，選擇*.grx文件，就可運行它。
$$ 編譯時應先編譯子函數文件，生成*.gri，子函數文件不需要鏈接，此時再編譯主函數
$$ 文件，生成*.gri，最后鏈接成*.grx。
$$ Grip主函數文件必須以HALT結束，Grip子函數文件必須以RETURN結束。
$$ 定義的變量不能超過6個字符，Grip會認為Point_1和Point_2是同一個變量。
$$ 一行不能超過80個字符，若超過，可用$符號來換行。
$$ Grip不區分大小寫，也就是Grip會認為POINT和point都是畫點函數，但是我建議Grip
$$ 的函數名和關鍵字用大寫，用戶定義的變量用小寫。但是用戶定義的變量不能和Grip的
$$ 函數名和關鍵字重名。
$$ Grip的幫助文件在C:\EDS\Unigraphics NX\UGDOC\html_files\mainlibrary.chm\
$$ Open\GRIP Reference Guide下。一個簡便的Grip函數查找方法：打開...\Word &
$$ Symbol Lists\Major Word List，根據首字母來查函數。
HALT $$ 結束語
ideo標簽
作用: 播放視頻
格式1:
video標簽的屬性
src: 告訴video標簽需要播放的視頻地址
autoplay: 告訴video標簽是否需要自動播放視頻
controls: 告訴video標簽是否需要顯示控制條
poster: 告訴video標簽視頻沒有播放之前顯示的占位圖片
loop: 告訴video標簽循環播放視頻. 一般用于做廣告視頻
preload: 告訴video標簽預加載視頻, 但是需要注意preload和autoplay相沖, 如果設置了autoplay屬性, 那么preload屬性就會失效
muted:告訴video標簽視頻靜音
width/height: 和img標簽中的一模一樣
格式2
第二種格式存在的意義
由于視頻數據非常非常的重要, 所以五大瀏覽器廠商都不愿意支持別人的視頻格式, 所以導致了沒有一種視頻格式是所有瀏覽器都支持的這個時候W3C為了解決這個問題, 所以推出了第二個video標簽的格式
ideo標簽的第二種格式存在的意義就是為了解決瀏覽器適配問題. video 元素支持三種視頻格式, 我們可以把這三種格式都通過source標簽指定給video標簽, 那么以后當瀏覽器播放視頻時它就會從這三種中選擇一種自己支持的格式來播放
注意點:
當前通過video標簽的第二種格式雖然能夠指定所有瀏覽器都支持的視頻格式, 但是想讓所有瀏覽器都通過video標簽播放視頻還有一個前提條件, 就是瀏覽器必須支持HTML5標簽, 否則同樣無法播放
在過去的一些瀏覽器是不支持HTML5標簽的, 所以為了讓過去的一些瀏覽器也能夠通過video標簽來播放視頻, 那么我們以后可以通過一個JS的框架叫做html5media來實現
audio標簽
作用: 播放音頻
格式:
注意點:
audio標簽的使用和video標簽的使用基本一樣, video中能夠使用的屬性在audio標簽中大部分都能夠使用, 并且功能都一樣. 只不過有3個屬性不能用, height/width/poster
詳情和概要標簽
作用:利用summary標簽來描述概要信息, 利用details標簽來描述詳情信息
默認情況下是折疊展示, 想看見詳情必須點擊
格式:
marquee標簽
作用: 跑馬燈效果
格式:
屬性:
direction: 設置滾動方向 left/right/up/down
scrollamount: 設置滾動速度, 值越大就越快
loop: 設置滾動次數, 默認是-1, 也就是無限滾動
behavior: 設置滾動類型 slide滾動到邊界就停止, alternate滾動到邊界就彈回
注意點:
marquee標簽不是W3C推薦的標簽, 在W3C官方文檔中也無法查詢這個標簽, 但是各大瀏覽器對這個標簽的支持非常好
HTML中被廢棄的標簽
— 由于HTML現在只負責語義而不負責樣式.但是HTML一開始有一部分標簽連樣式也包攬了, 所以這部分標簽都被廢棄了
b(Bold)作用: 將文本字體加粗
格式:<b>將文本字體加粗</b>
u(Underlined)作用: 為文本添加下劃線
格式:<u>為文本添加下劃線</u>
i(Italic)作用: 顯示斜體文本效果
格式:<i>顯示斜體文本效果</i>
s(Strikethrough)作用: 為文本添加刪除線
格式:<s>為文本添加刪除線</s>
為了彌補 b、u、i、s標簽的不足, W3C又推出了一組新的標簽, 這些標簽在顯示上看似和buis沒什么區別, 但是在語義上卻有重大區別
格式:<del>已刪除的文本</del>
格式:<em>強調內容</em>
格式:<ins>新插入的文本</ins>
格式:<strong>著重內容</strong>
strong作用: 著重內容
ins(Inserted)作用: 新插入的文本
em(Emphasized)作用:強調內容
del(Deleted)作用: 已刪除的文本
其它更多詳見維基百科
HTML實體
我們想在頁面上輸出<h1>這些字符，但是HTML認為這是一個標簽, 所以如果需要輸出一些特殊的字符需要通過字符實體來實現
lt是英語less than 小于的意思, ‹可以在頁面上輸出一個小于符號
gt是英語greater than 大于的意思, >可以在頁面上輸出一個大于符號
html中對空格，縮進，換行不敏感，如果同時出現多個空格縮進或者執行，頁面只會把它們當作一個空格來解析。所以想要在html中輸出空格必須使用 來實現, 一個 就代表一個空格
html對中文空格敏感, 也就是說可以顯示中文空格, 但是不推薦這樣使用
是英語non-breaking spacing, 翻譯為不打斷空格的意思
*請認真填寫需求信息，我們會在24小時內與您取得聯系。
