XSS 注入检查点

如果你有个论坛，一般你会很注意用户发帖的注入问题，往往这个地方不会被注入，因为开发特别照顾。原则上XSS都是用户输入的，但是许多边角还是容易忽略。枚举一些检查点。

分页

分页通用组件获取url，修改page之后生成分页样式的HTML，最容易忽略XSS注入。

错误提示

即使攻击对象无法正常打开网页，XSS注入也已经完成。反馈错误提示页面如果包含用户输入的内容。比如："标题x 中包含 ** 是不允许的"。有一些SQL报错提示也会带上用户输入内容。

搜索

搜索词一般没有硬性要求去掉某些字符，和分页一起很容易产生注入

审核后台、其他用户提交内容的管理后台。

用户输入的内容不一定是对付其他用户的，后台的设计缺陷也可能导致xss，比如审核后台，本来是审核用户提交内容是否安全，但是很可能自己中招。

任何富文本编辑器提交的内容

富文本编辑器提交内容本身带有大量HTML代码，同时保证用户的自由编辑和安全是非常困难的。可以找一些开源过滤方案。