Non saprei con esattezza.

Immagino < > [ ] = + # $

Poi dipende da quali caratteri ti possono servire.
In linea di massima un solo carattere non e` pericoloso, mentre una combinazione oppurtuna di quei caratteri potrebbe nascondere tranelli.
esempio:
<script> (ma se togli < e > non puo` piu` girare)