스크립트 제거

url param 제거

아이프레임 제거

src attribute 체크

css expression 제거

onEvent attribute 제거

embed/object태그에 ,invokeURL param/attribute있으면 never와 0으로 고정, 없으면 추가

혹시 몰라서 세션도 탈취 못하게 보안 기능 마련



일단 내가 아는 기법들은 다 막았는데 추가로 더 막아야할 부분있으면 귓뜸 좀 해줘