PHP和XSS跨站攻击的防范

            其实这个话题很早就想说说了，发现国内不少PHP站点都有XSS漏洞。今天偶然看到PHP5的一个XSS漏洞，在此小结一下。顺便提醒，使用PHP5的朋友最好打下补丁，或者升级一下。
如果你不懂什么是XSS，可以看这里，或者这里（中文的也许会好懂一些）。
国内不少论坛都存在跨站脚本漏洞，例如这里  有一个Google Hack+XSS的攻击例子，针对的是Discuz 4.0.0RC3。国外也很多这样的例子，甚至Google也出现过，不过在12月初时修正了。跨站攻击很容易就可以构造，而且非常隐蔽，不易被查觉（通常盗取信息后马上跳转回原页面）。
如何攻击，在此不作说明（也不要问我），主要谈谈如何防范。首先，跨站脚本攻击都是由于对用户的输入没有进行严格的过滤造成的，所以我们必须在所有数据进入我们的网站和数据库之前把可能的危险拦截。针对非法的HTML代码包括单双引号等，可以使用htmlentities() 。

这样可以使非法的脚本失效。
但是要注意一点，htmlentities()默认编码为 ISO-8859-1，如果你的非法脚本编码为其它，那么可能无法过滤掉，同时浏览器却可以识别和执行。这个问题我先找几个站点测试后再说。
这里提供一个过滤非法脚本的函数：
function RemoveXSS($val) {  
   // remove all non-printable characters. CR(0a) and LF(0b) and TAB(9) are allowed  
   // this prevents some character re-spacing such as   
   // note that you have to handle splits with \n, \r, and \t later since they *are* allowed in some inputs  
   $val = preg_replace('/([\x00-\x08][\x0b-\x0c][\x0e-\x20])/', '', $val);  
   // straight replacements, the user should never need these since they're normal characters  
   // this prevents like
[img][/img]
  
   $search = 'abcdefghijklmnopqrstuvwxyz';  
   $search .= 'ABCDEFGHIJKLMNOPQRSTUVWXYZ';  
   $search .= '1234567890!@#$%^&*()';  
   $search .= '~`";:?+/={}[]-_|\'\\';  
   for ($i = 0; $i  0) {  
               $pattern .= '(';  
               $pattern .= '(&[x|X]0{0,8}([9][a]);?)?';  
               $pattern .= '|(&0{0,8}([9][10][13]);?)?';  
               $pattern .= ')?';  
            }  
            $pattern .= $ra[$i][$j];  
         }  
         $pattern .= '/i';  
         $replacement = substr($ra[$i], 0, 2).''.substr($ra[$i], 2); // add in  to nerf the tag  
         $val = preg_replace($pattern, $replacement, $val); // filter out the hex tags  
         if ($val_before == $val) {  
            // no replacements were made, so exit the loop  
            $found = false;  
         }  
      }  
   }  
}
            
            
您可能感兴趣的文章:

解析PHP跨站刷票的实现代码

php安全开发 添加随机字符串验证，防止伪造跨站请求

php跨站攻击实例分析

ThinkPHP2.x防范XSS跨站攻击的方法

PHP实现表单提交数据的验证处理功能【防SQL注入和XSS攻击等】

整理php防注入和XSS攻击通用过滤

xss防御之php利用httponly防xss攻击

php过滤XSS攻击的函数

细谈php中SQL注入攻击与XSS攻击

PHP中防止SQL注入攻击和XSS攻击的两个简单方法

PHP实现的防止跨站和xss攻击代码【来自阿里云】