目前市场上，尤其是网上购买香水时，时常可以看到写着港版香水的字样。这种香水的包装和正品香水几乎一模一样。价格却便宜很多，有时和正品价格相差十倍左右。拿香奈儿香水来说，正品50ml要五百多元，而所谓港版的三四十元就能买到。 所谓港版，其实就是国产仿冒的。二者在品质上有很大区别： 区别一：香水主要闻得是香味儿，港版与正品的香味本身就不一样。由于价格低廉，仿冒的香水所用的香料自然与正品无法相比。对于香水这种大家都能闻得到的东西，我建议还是正品比较好。常用香水的人一下就能闻出好坏。 区别二：也是最大的差别，就是留香时间的长短。用过原装品牌香水的MM都知道，正品香水的留香时间超长，能达一个星期以上，衣服上滴上一滴，只要衣服不洗，总能闻到淡淡的香味。所以品版香水除了有香调外，还有前味、中味、后味可分，每个阶段都不有同香气，各有各的韵味。而港版香水有时介绍留香时间一到二天，其实最多几个小时。呵呵，总不能分前二十分钟是什么味，最后几分钟是什么味吧。。从这点来看，正品香水的价格高也不是绝对的。 对香水颇有喜好，所以对真假品牌香水的差距知道一些。下面有几点告诉喜欢正品香水的MM。 1、 原装品牌香水的外包装上都会贴有一个白色的标签，写着中文，主要是进口的批号、品牌供应商、净含量、保质期。（海关扣押的正品香水除外，那是没有进出口批号的） 2 、盒上还要有一个“CIQ”的标签，这是品牌香水的身份证。 3 、除了经常出现在化妆品身上的上述标志外，你还会看到一串由数个英文字母和数字组成的字符串。这些看来深奥的东西，其实是化妆品的唯一“出生纸”，假货根本无法具备，无论你在任何地方购买化妆品，只要学会识别这些串码，受骗的可能就会减少很多（通常同一化妆品集团下的不同产品也会使用相同的串码） （1）如Helena（赫莲娜）、（兰蔻）、Biotherm （碧欧泉）Vichy（薇姿）等品牌的瓶身或瓶底上，字符串通常由2个英文字母和3个数字组成，如：CV150---第一个英文字母C代表产地，第二个V则代表生产年份（U=1999 V=2000 W=2001 X=2002)以此类推，后3位数字代表那一年的第几天，CV150就是指在2000年第150天生产的产品。 （2）如（雅诗兰黛）和（倩碧）产品的瓶身上，多为3位码批号，如K61---第一个字母表示产地，第二个数字6表示生产月份，以123456789ABC代表12个月，第三个数字1代表生产年份，K61就表示在2001年6月份制造的，如果是5位码，则依次代表厂、货、月、年、批。 （3）如（迪奥）和 （娇兰）的瓶身上是4位数的批号，如2K08---第一个数字代表生产年份，1代表2001年，2代表2002年，以此类推，第二个英文字母代表生产月份，A=1月、B=2月，以此类推，后2位数字代表流水批号，可以忽略。 （4）H2O（水芝澳）产品的批号格式通常为4254H53---第一个数字为年号，4代表2004年，后3个数字254则是指2002年第254天生产的。 （5）Clarins（娇韵诗）产品的批号格式为403129----第一个数字为年号，4代表2004年，后面2位数字为月号，03就是3月，最后几位数字则是货柜号标码！ 4、看包装，进口香水的包装都很漂亮的，外边有塑料纸的，都是比较厚的那种，（没塑料纸的咱就先不说的）摸起来比较有感觉的，纸盒上的字体比较细腻，不管是看还没摸起来，没有粗糙感。真的香水中的吸管，一般都是从上直接到下的，不会在瓶身里面弯曲，基本上不部会有杂质沉淀。 5、某些香水的瓶身和外盒有对应的一样的批号，有时候很多人不太注意瓶身和盒子上的号码，比如说CD，CK，KENZO，BOSS，兰蔻等都是外包装和瓶身上的字母是一样的，这个是假货所没有的。（这个好象现在有的仿货也开始注意这点了）
1、基于特征的防御。XSS漏洞和著名的SQL注入漏洞一样，都是利用了Web页面的编写不完善，所以每一个漏洞所利用和针对的弱点都不尽相同，这就是给XSS漏洞防御带来的困难，不可能以单一特征来概括所有XSS攻击。
传统的XSS防御在进行攻击鉴别时多采用特征匹配方式，主要是针对JavaScript这个关键词进行检索，但是这种鉴别不够灵活，凡是提交的信息中各有JavaScript时，就被硬性的判定为XSS攻击。
2、基于代码修改的防御。Web页面开发者在编写程序时往往会出现一些失误或漏洞，XSS攻击正是利用了失误和漏洞，因此一种比较理想的方法就是通过优化Web应用开发来减少漏洞，避免被攻击：
①用户向服务器上提交的信息要对URL和附带的HTTP头、POST数据等进行查询，对不是规定格式、长度的内容进行过滤。
②实现Session标记、CAPTCHA系统或者HTTP引用头检查，以防功能被第三方网站所执行。
③确认接收的内容被妥善的规范化，仅包含最小的、安全的Tag，去掉任何对远程内容的引用，使用HTTP only的cookie。
3、客户端分层防御策略。客户端跨站脚本攻击的分层防御策略是基于独立分配线程和分层防御策略的安全模型。它建立在客户端，这是它与其他模型最大的区别。之所以客户端安全性如此重要，客户端在接受服务器信息，选择性的执行相关内容。这样就可以使防御XSS攻击变得容易，该模型主要由三大部分组成：
①对每一个网页分配独立线程且分析资源消耗的网页线程分析模块;
②包含分层防御策略四个规则的用户输入分析模块;
③保存互联网上有关XSS恶意网站信息的XSS信息数据库。
XXS攻击全称跨站脚本攻击，是一种在Web应用中的计算机安全漏洞，它允许恶意Web用户将代码植入到提供给其他使用的页面中。
XSS攻击有哪几种类型?下面就由锐速云的小编为大家介绍一下
经常见到XSS攻击有三种：反射XSS攻击、DOM-based型XSS攻击以及储存型XSS攻击。
[if !supportLists]1、[endif]反射型XSS攻击
反射性XSS一般是攻击者通过特定手法(如电子邮件)，诱使用户去访问一个包含恶意代码的URL，当受害者点击这些专门设计链接的时候，恶意代码会直接在受害主机上的浏览器上执行，反射型XSS通常出现在网站搜索栏，用户登入口等地方，常用来窃取客户端或进行钓鱼欺骗。
[if !supportLists]2、[endif]存储型XSS攻击
存储型XSS攻击也叫持久型XSS，主要将XSS代码提交储存在服务器端(数据库，内存，文件系统等)下次请求目标页面时不用在提交XSS代码。当目标用户访问该页面获取数据时，XSS代码会从服务器解析之后加载出来，返回到浏览器做正常的HTML和JS解析执行，XSS攻击就发生了。储存型XSS一般出现在网站留言，评论，博客日志等交互处，恶意脚本储存到客户端或者服务端的数据库中。
[if !supportLists]3、[endif]DOM-based型XSS攻击
DOM-based型XSS攻击它是基于DOM的XSS攻击是指通过恶意脚本修改页面的DOM结构，是纯粹发生在客户端的攻击。DOM型XSS攻击中，取出和执行恶意代码由浏览器端完成，属于前端JavaScript自身的安全漏洞。
如何防御XSS攻击?
[if !supportLists]1、[endif]对输入内容的特定字符进行编码，列如表示html标记等符号。
[if !supportLists]2、[endif]对重要的cookie设置httpOnly，防止客户端通过document。cookie读取cookie，此HTTP开头由服务端设置。
[if !supportLists]3、[endif]将不可信的输出URT参数之前，进行URLEncode操作，而对于从URL参数中获取值一定要进行格式检查
[if !supportLists]4、[endif]不要使用Eval来解析并运行不确定的数据或代码，对于JSON解析请使用JSON。Parse()方法
[if !supportLists]5、[endif]后端接口也应该要做到关键字符过滤的问题。
1、基于特征的防御。XSS漏洞和著名的SQL注入漏洞一样，都是利用了Web页面的编写不完善，所以每一个漏洞所利用和针对的弱点都不尽相同，这就是给XSS漏洞防御带来的困难，不可能以单一特征来概括所有XSS攻击。
传统的XSS防御在进行攻击鉴别时多采用特征匹配方式，主要是针对JavaScript这个关键词进行检索，但是这种鉴别不够灵活，凡是提交的信息中各有JavaScript时，就被硬性的判定为XSS攻击。
2、基于代码修改的防御。Web页面开发者在编写程序时往往会出现一些失误或漏洞，XSS攻击正是利用了失误和漏洞，因此一种比较理想的方法就是通过优化Web应用开发来减少漏洞，避免被攻击：
①用户向服务器上提交的信息要对URL和附带的HTTP头、POST数据等进行查询，对不是规定格式、长度的内容进行过滤。
②实现Session标记、CAPTCHA系统或者HTTP引用头检查，以防功能被第三方网站所执行。
③确认接收的内容被妥善的规范化，仅包含最小的、安全的Tag，去掉任何对远程内容的引用，使用HTTP only的cookie。
3、客户端分层防御策略。客户端跨站脚本攻击的分层防御策略是基于独立分配线程和分层防御策略的安全模型。它建立在客户端，这是它与其他模型最大的区别。之所以客户端安全性如此重要，客户端在接受服务器信息，选择性的执行相关内容。这样就可以使防御XSS攻击变得容易，该模型主要由三大部分组成：
①对每一个网页分配独立线程且分析资源消耗的网页线程分析模块;
②包含分层防御策略四个规则的用户输入分析模块;
③保存互联网上有关XSS恶意网站信息的XSS信息数据库。
XSS攻击：跨站脚本攻击(Cross Site Scripting)，为不和层叠样式表(Cascading Style Sheets, CSS)的缩写混淆，故将跨站脚本攻击缩写为XSS。
分布式拒绝服务(DDoS:Distributed Denial of Service)攻击指借助于客户/服务器技术，将多个计算机联合起来作为攻击平台，对一个或多个目标发动DDoS攻击，从而成倍地提高拒绝服务攻击的威力。通常，攻击者使用一个偷窃帐号将DDoS主控程序安装在一个计算机上，在一个设定的时间主控程序将与大量代理程序通讯，代理程序已经被安装在网络上的许多计算机上。代理程序收到指令时就发动攻击。利用客户/服务器技术，主控程序能在几秒钟内激活成百上千次代理程序的运行。
1学习编程语言(php+mysql+js+html)
原因：php+mysql可以帮助你快速的理解B/S架构是怎样运行的，只有理解了他的运行原理才能够真正的找到问题/漏洞所在。所以对于国内那些上来就说渗透得培训我是很鄙视的js+html可以帮助你理解到XSS的payload构造，以及Dom型的XSS挖掘。注意我这是没有说不会JS就找不到XSS漏洞，只不过是不能构造payload以及DOM型的XSS挖掘的2. 学习运维原因：关于内网渗透的时候会有大用！比如说那些配置文件在哪里，DNS怎么查看之类的，这里的运维不是说什么去学Linux怎么用，而是让你去学习各个服务是怎么配置出来的，记住他们的配置文件所在3. 入门渗透学习路径：1.SQL注入2. XSS漏洞3. CSRF漏洞4. 文件上传5. 解析漏洞6. 代码执行7. 命令执行8. 文件包含9. SSRF漏洞以上漏洞的原理都在白帽子讲web安全一书中有说道。注意！必须学习完第一步才可以继续学习第三步，不然你会发现买来也没什么卵用 看不懂4. 深入漏洞这个东西是讲不出来的，只可意会不可言传最后给你一句忠告：渗透测试的本质是信息收集，深度是漏洞开发当然在你入门后可以加QQ群一起讨论交流：752228676
要想从根本上解决XSS攻击，就要对Web应用程序源代码进行检查，发现安全漏洞进行修改。但是这种方法在实际中给用户带来了不便，如：需要花费大量的人力财力;可能无法找到当时的网站开发人员、需要网站下线等。对代码进行修改后，由于增加了过滤条件和功能，同时也给服务器带来了计算压力。通常的解决方法是在数据库服务器前端部署入侵防御产品。XSS攻击具有变种多、隐蔽性强等特点，传统的特征匹配检测方式不能有效地进行防御，需要采用基于攻击手法的行为监测的入侵防御产品产品才能够精确地检测到XSS攻击。
我来说两句