在PHP的CI框架中，kindeditor自动过滤尖括号，怎么办？
你看看application/config/config.php 文件启用了 XSS 过滤
$config['global_xss_filtering'] = TRUE;
或者您 $this-input-post( 'c', TRUE );
都会自动过滤一些特殊附号的。
渗透测试需要学那些知识？
web黑客渗透测试入门需要学哪些？
学习web渗透，就是从零散到整体。我们入门门槛比较低，学会用工具就可以了。但是从入门到另一个层次就比较难了，也是大部分脚本小子迷茫的地方。
在web渗透的核心那就是思路，大量的思路来源是来自于自己的知识积累和丰富的经验。 学而不思则罔思而不学则殆。
当我找到了一个注入点：
首先放进工具一点，工具提示不存在注入。很奇怪，明明是存在的，发个某大牛，某大你不想说话并向你扔了个链接，你发现居然爆出了帐号密码。
太多的人都是处于这个超级小白阶段，这个阶段处于菜鸟阶段，我称为打哪是哪。
我来问问：
brup suite你会用？你会用来做什么，爆破？你知道怎么抓包分析post注入吗？你知道绕过上传时brup suite的神奇之处吗？
sqlmap 你会用？你会用来做什么，-u？-dbs？你知道怎么在sqlmap中执行sql语句吗？你知道sqlmap怎么反弹shell吗？
xss 你都懂？你知道xss平台那么多模块都有什么妙用吗？你知道尖括号过滤都有哪些绕过方式吗？
入门学习思考 可能遇到的问题 和新手需知：
你知道svn源代码泄露是什么？通过审计代码能做到什么吗？
你知道在发现st2漏洞命令执行时出现目录限制的时候怎么突破吗？有多少种方式可以突破，在什么样的场景下容易出现，如果有杀软怎么绕过吗？
你知道在3306允许外链的情况下可以爆破吗？你以为扫描器会把端口的风险都列出来给你吗？
你知道一个缜密的邮箱伪造社工可能就能导致网站沦陷吗？
你知道遇到weblogic等弱口令的时候如何去部署war拿shell吗？
你知道各种java中间件的端口是哪些吗？各种反序列化漏洞是怎么样快速定位数据库配置文件的吗？
你知道填充Oracle漏洞的利用 *** 吗？你知道扫描器都是误报吗？你知道手工怎么测试漏洞真实存在吗？
你知道oa系统都有哪些通用注入和无限制getshell吗？
你知道phpmyadmin可以爆破吗？什么样的版本可以爆路径，什么样的版本几乎拿不到shell吗？
太多太多了，我上面提到的也只是web方面的冰山一角，后面的提权、内网等等难题如海。
为什么信息安全这样的行业会有很多高中生都能做的比大部分受过高等教育的大学生强？
为什么信息安全领域经常有高中生曝光？
高中生中确实有对安全有深厚兴趣并在某一方面取得成就的，但这类消息中绝大部分并没想象中的那样NB。不少“高中生高手”都是在习得基本攻击技术之后，尝试各种网站，最终终于碰到一个能拿下的了，不知深浅地改了主页，由此出名。此类人可以算是“脚本小子”，碰到一个算一个，运气好点，胆大点，就能成为人们眼中的高手。
再退一步讲，安全又是个攻防不对等的领域——几十块钱的锁，几分钱的铁丝就能打开；在拥有相关技术的前提下，破解一款软件的成本往往低于开发这款软件（想想那些盗版软件吧）。这就使得安全领域相比其他领域，更容易出现短时间获得某一方面专精的技能，这样的技能既容易过时，又无法系统性地解决问题，想要成为专家，依然需要更深厚的知识基础（详见第三节）。
信息安全专业的大学生都干嘛去了？
和其他专业的学生一样，很多人进入信息安全专业都是因为高考报志愿时一知半解的选择。最后招进来的都是对安全不感兴趣甚至对计算机都不感兴趣的学生；那些从小搞黑的少年，高中NB之后大学就考不上啦（开玩笑）。
请再看看上面那张截图的本学院课程，除了xx安全原理这种背书课之外，有多少是和信息安全相关的？完全就是CS+EE的课程嘛！人家软件学院还学如何溢出，怎么编写不被溢出的程序，我们专业一半的人都讲不出溢出的基本原理是啥！（唉说多了都是泪）
由于专业敏感性，以及国内高校重教学、轻实践的问题，完全没有攻防相关的课程。我们是不培养黑客，但你连黑客攻击手段都不知道，怎么防御呢？？？
于是90%的学生和计算机专业的学生做一样的事，找一样的工作。（唉答主已经转职成纯码农了……）
另外有10%的少年，则在这样的艰苦环境下，自学成才，成为我国信息安全领域的希望……（请看下一节）
“大学生级别”的信息安全都搞啥？
在信息安全领域，黑客啊攻击啊其实并非核心。核心是各类系统原理（操作系统、 *** ）、密码学（对称、非对称加密原理及其背后的数学理论）、各类安全架构（PKI、身份认证协议）等。这些都要有人做，研究生干的就是这些，以安全之名，做系统之实。（著名的GFW算是“非黑客信息安全”的代表，说白了，就是监听流量，代发RST包嘛，放到计算机系也是能做出来的）
上述领域才算全面的信息安全行业，这些事情高中生就做不了了，大学生做了，也没人关心= =。
在狭义信息安全领域，那些10%的有兴趣、有技术的少年，还是有一些发挥空间的，但也需要比高中生更多的知识基础。
比如进行XSS攻击，业余级水平是发现一网站尖括号没转义，放个alert就证明了。专业级面对的，可能是一个防范严密的网站，可能要了解引擎解析原理，甚至要看浏览器源代码，从底层hack——都是XSS，能一样么？
狭义信息安全领域的代表，公开的有ctf比赛。达到这种水平的少年，不乱搞，做事低调，日后有望成为职业安全人员；除了比赛获奖、上报漏洞，很少见闻这些人黑掉啥啥啥。结果呢，又没人知道他们厉害了……
总之大学生及以上群体中，信息安全领域高手大有人在，只是不以“高中生黑网站”的方式出现而已。
版权声明
本文仅代表作者观点，不代表本站立场。
本文系作者授权发表，未经许可，不得转载。
