可能重复：
What are the best practices for avoid xss attacks in a PHP site
您好， 我想知道黑客如何将这个javascript代码注入我的homepage.php
<script type="text/javascript">document.write('\u003c\u0069\u006d\u0067\u0020\u0073\u0072\u0063\u003d\u0022\u0068\u0074\u0074\u0070\u003a\u002f\u002f\u0061\.........')</script>
我怎么能阻止这个？
答案 0 :(得分：6)
除非您有任何实际发布内容到您网站的表格，并且这最终会出现在您的php文件中，我会说他们已经通过ftp将其上传，可能是因为您的ftp服务中存在漏洞，也可能只是通过暴力破解
检查您的ftp传输日志，看看有问题的文件是否已被未知IP上传。
修补你的ftp守护程序，并希望最好，但我建议你删除ftp访问，或IP限制。
答案 1 :(得分：2)
您向我们展示的代码仅仅是黑客的结果;它告诉我们很少关于它的原因。
黑客可以通过多种方式将类似代码插入您的网站。其中一些可能是通过您的网站上的Javascript或输入表单，但它可能同样是服务器软件本身，通过FTP或服务器上的其他服务。
您需要考虑注入代码的上下文，而不是内容。它是否已直接添加到您的PHP程序文件中？或者您的网页已被修改以从其他地方提取此代码？或者这个Javascript被放在你的数据库中的某个地方？你正在使用什么PHP软件（即你运行像Drupal或ZenCart这样的知名软件包等），你是否让它们更新到最新版本？回答这些问题可以帮助您制定黑客进入您网站的路线。
但是在过去，当我有类似的经历时，我发现找到黑客攻击的最快方法是将被黑客入侵的代码部分传入谷歌。如果黑客是以前在其他地方发生过的，那么结果将是其他被黑网站和支持论坛之间的混合，之前人们已经讨论过他们的经历。
我发现谷歌支持论坛几乎总是要么直接回答，或者至少你能够在他们之间找到共同的线索，比如每个被这种方式被黑客攻击的人都是运行一个特定的基于PHP的包，或类似的东西。
在不了解您的设置的情况下，我不能真正回答这个问题，但我希望这有所帮助。
答案 2 :(得分：-2)
不要依赖用户通过JavaScript输入，这是客户端。尝试使用PHP。
详细了解JavaScript注入here。