第一类：

在html标签事件中触发,典型的是on*事件,但是这种触发模式的缺陷在于不能直接触发所以更多的需要配合使用。

eg：

1.使html元素占据整个显示页面  

2.增加属性触发事件

3.自动触发事件

在真实环境中，‘ 、" 、( 、) 都是属于黑名单中的成员，如果遇到以上四个字符被过滤的情况，那么我们就需要使用其他字符去代替，或者编码的方式去绕过。

eg:

1.不使用 "  

2.不使用 ‘  

3.不使用 ( )  

4.不使用 ‘ " ( )

5.使用html实体编码绕过

6.使用html实体编码绕过变形

这里如何修补该漏洞呢？常见修补方式有如下

eg：

1.使用环境允许插入html标签排版的情况下，很常见的就是将html事件熟悉转义为html实体编码字符，当然也可以直接拦截返回404。常见匹配策略 /on[^=]*=/ig

2.使用环境不允许插入html标签的情况下，不难看出所有的tag前面都紧贴着一个 “ < ” ，所以只需要将 “ < ” 使用html实体编码转换即可。常见匹配策略 /

第二类：

该类型的触发点其实相对较少的，曾经最经典的一个莫属于IE6中的 但是这个问题已经成为历史，在其它tag中使用src属性触发xss的列子也还是有的。

eg：

1.在iframe标签中加载一个脚本页面

2.在script标签中加载一个脚本

在src属性中可以使用可以直接请求一个外部连接，还可以用Data URI scheme直接嵌入文本

eg：

1.在iframe标签中使用Data URI scheme直接嵌入文本

2.在script标签中使用Data URI scheme直接嵌入文本

使用Data URI scheme直接嵌入文本，比较繁琐，但是这类的好处在于可以使用BASE64编码格式

eg：

1.在iframe标签中使用Data URI scheme直接嵌入BASE64编码后的文本

2.在script标签中使用Data URI scheme直接嵌入BASE64编码后的文本

在该类型的变形中还可以结合第一类的变形使用

eg：

1.使用html实体编码URI

2.使用html实体编码Data URI scheme

3.使用html实体编码BASE64编码之后的Data URI scheme

该类问题的修补策略和第一类类似。常见方式有如下。

eg：

1.在允许使用外部元素的时候，鄙人不才没能想出处理方案。

2.在不允许使用外部元素的时候，在src所指向的URI上加入当前网站的域名，以此限制内容为当前网站中的安全内容。

3.在不允许使用元素引入的时候，但是允许插入html标签排版的情况下，指定tag白名单或者tag黑名单。

4.不允许使用html标签的时候，将 < 转换为html实体编码。

原文：http://www.cnblogs.com/black-humor/p/7810920.html