对于他们的攻击，主要是通过使用正则表达式来做输入检测：
检测SQL meta-characters的正则表达式 ：/(\%27)|(’)|(--)|(\%23)|(#)/ix
解释:我 们首先检查单引号等值的hex，单引号本身或者双重扩折号。
修正检测SQL meta-characters的正则表达式： /((\%3D)|(=))[^ ]*((\%27)|(’)|(--)|(\%3B)|(:))/i
解释: 这个规则首先留意 = 号或它的hex值(%3D)，然后考虑零个或多个除换行符以外的任意字符，最后检测单引号，双重破折号或分号。
典型的 SQL 注入攻击的正则表达式： /w*((\%27)|(’))((\%6F)|o|(\%4F))((\%72)|r|(\%52))/ix
解释:
w* - 零个或多个字符或者下划线。
(\%27)|’ - 单引号或它的hex等值。
(\%6 F)|o|(\%4 F))((\%72)|r|-(\%52) －‘or’的大小写以及它的hex等值
检测SQL注入，UNION查询关键字的正则表达式: /((\%27)|(’))union/ix
(\%27)|(’) - 单引号和它的hex等值
union - union关键字
可以同样为其他SQL查询定制表达式，如 >select, insert, update, delete, drop, 等等.
检测MS SQL Server SQL注入攻击的正则表达式: /exec(s|+)+(s|x)pw+/ix
exec - 请求执行储存或扩展储存过程的关键字
(s|+)+ - 一个或多个的空白或它们的http等值编码
(s|x) p- ‘sp’或‘xp’字母用来辨认储存或扩展储存过程
w+ - 一个或多个字符或下划线来匹配过程的名称
CSS的检测也主要是正则表达式：
一般 CSS 攻击的正则表达式: /((\%3C)|<)((\%2F)|/)*[a-z0-9\%]+((\%3E)|>)/ix
解释:
((\%3C)|<) －检查<和它hex等值
((\%2F)|/)*－结束标签/或它的 hex等值
[a-z0-9\%]+ －检查标签里的字母或它hex等值
((\%3E)|>) －检查>或它的hex等值
"<img src" CSS 攻击正则表达式: /((\%3C)|<)((\%69)|i|(\%49))((\%6D)|m|(\%4D))((\%67)|g|(\%47))[^ ]+((\%3E)|>)/I
解释:
(\%3 C)|<) -<或它的hex等值
(\%69)|i|(\%49))((\%6D)|m|(\%4D))((\%67)|g|(\%47) -’img’字母或它的大小写hex等值的变化组合
[^ ]+ -除了换行符以外的任何跟随<img的字符
(\%3E)|>) ->或它的hex等值
CSS 攻击的极端的正则表达式 ： /((\%3C)|<)[^ ]+((\%3E)|>)/I
解释:
这个规则简单寻找<+除换行符外的任何字符+>。由于你的web服务器和web应用程序的构架，这个规则可能产生一些错误。但它能保证捉住任何CCS或者类似CSS的攻击。
传说中有个功能键叫：ctrl+f传说他可以替换和查找整个站点的文件。
还有一个神奇的文件，他叫***.css.听说你只要在里面只要写入一句样式，然后通过上面所说的ctrl+f
将这个神奇的css文件应用到所有站点文件里去，你的愿望就可以成真了。
jquery获取对象的css属性值的时候，就算我们没有给这个对象设置过css属性值，这些值也会存在，只不过有些是默认值。下面我们来输出一个div的css属性值，原始代码如下
<!DOCTYPE html><html>
<head>
<title>DIV_TEST</title>
<meta charset="utf-8"/>
<style type="text/css">
#top1{
}
</style>
</head>
<body>
<div id="top1">
<u>你好我是某某某</u>
</div>
<script src="jquery-3.2.1.min.js" ></script>
<script>
$(document).ready(function(){
console.log("float的值是："+$("#top1").css("float"))
console.log("height的值是："+$("#top1").css("height"))
console.log("overflow的值是："+$("#top1").css("overflow"))
console.log("color的值是："+$("#top1").css("color"))
console.log("big的值是："+$("#top1").css("big"))
})
</script>
</body>
</html>
结果如下
可以看到我们没有设置过div的css属性，除了高度以外剩下的只要存在这个css属性的都是默认值，唯一不同的是最后一个big属性，我们知道这个属性不是css的属性，因此我们判断有没有某个属性的时候可以通过这个方式判断
$(document).ready(function(){console.log("是否存在big属性："+testHasCss($("#top1"),"big"))
console.log("是否存在color属性："+testHasCss($("#top1"),"color"))
console.log("是否存在display属性："+testHasCss($("#top1"),"display"))
console.log("是否存在gogo属性："+testHasCss($("#top1"),"gogo"))
})
var testHasCss = function(obj,cssStr){
if((obj).css(cssStr) === undefined){
return false
}else{
return true
}
}
结果如下
