PHP XSS filtreleme fonksiyonu

6 Cevap php

Herkes formlardan jenerik giriş süzme için orada iyi bir fonksiyonun biliyor mu? Zend_Filter_input giriş içeriğinin ön bilgi gerektirmeyen görünüyor ve ben HTML Arıtma gibi bir şey kullanarak büyük bir performans etkisi olacak endişeleniyorum.

Ne bir şey gibi: http://snipplr.com/view/1848/php--sacar-xss/

Herhangi bir giriş için çok teşekkürler.

6 Cevap

Basit bir yolu? Kullan strip_tags() :

$str = strip_tags($input);

Ayrıca filter_var() bunun için kullanabilirsiniz:

$str = filter_var($input, FILTER_SANITIZE_STRING);

Avantajı filter_var() Eğer düşük ve yüksek karakter sıyırma veya kodlama, örneğin, davranış kontrol edebilirsiniz olmasıdır.

İşte sanitizing filters listesidir.

XSS saldırıları için kullanmak koymak yolları hacker vardır, PHP'nin yerleşik işlevler XSS saldırıları her türlü yanıt vermez. Bu nedenle, vb strip_tags, filter_var, mysql_real_escape_string, Htmlentities, htmlspecialchars'dan, gibi fonksiyonlar bize% 100 korumak değildir. Sen daha iyi bir mekanizma gerekiyor, burada bir çözüm budur:

function xss_clean($data)
{
// Fix &entity\n;
$data = str_replace(array('&','<','>'), array('&','<','>'), $data);
$data = preg_replace('/(&#*\w+)[\x00-\x20]+;/u', '$1;', $data);
$data = preg_replace('/(&#x*[0-9A-F]+);*/iu', '$1;', $data);
$data = html_entity_decode($data, ENT_COMPAT, 'UTF-8');

// Remove any attribute starting with "on" or xmlns
$data = preg_replace('#(<[^>]+?[\x00-\x20"\'])(?:on|xmlns)[^>]*+>#iu', '$1>', $data);

// Remove javascript: and vbscript: protocols
$data = preg_replace('#([a-z]*)[\x00-\x20]*=[\x00-\x20]*([`\'"]*)[\x00-\x20]*j[\x00-\x20]*a[\x00-\x20]*v[\x00-\x20]*a[\x00-\x20]*s[\x00-\x20]*c[\x00-\x20]*r[\x00-\x20]*i[\x00-\x20]*p[\x00-\x20]*t[\x00-\x20]*:#iu', '$1=$2nojavascript...', $data);
$data = preg_replace('#([a-z]*)[\x00-\x20]*=([\'"]*)[\x00-\x20]*v[\x00-\x20]*b[\x00-\x20]*s[\x00-\x20]*c[\x00-\x20]*r[\x00-\x20]*i[\x00-\x20]*p[\x00-\x20]*t[\x00-\x20]*:#iu', '$1=$2novbscript...', $data);
$data = preg_replace('#([a-z]*)[\x00-\x20]*=([\'"]*)[\x00-\x20]*-moz-binding[\x00-\x20]*:#u', '$1=$2nomozbinding...', $data);

// Only works in IE: <span style="width: expression(alert('Ping!'));"></span>
$data = preg_replace('#(<[^>]+?)style[\x00-\x20]*=[\x00-\x20]*[`\'"]*.*?expression[\x00-\x20]*\([^>]*+>#i', '$1>', $data);
$data = preg_replace('#(<[^>]+?)style[\x00-\x20]*=[\x00-\x20]*[`\'"]*.*?behaviour[\x00-\x20]*\([^>]*+>#i', '$1>', $data);
$data = preg_replace('#(<[^>]+?)style[\x00-\x20]*=[\x00-\x20]*[`\'"]*.*?s[\x00-\x20]*c[\x00-\x20]*r[\x00-\x20]*i[\x00-\x20]*p[\x00-\x20]*t[\x00-\x20]*:*[^>]*+>#iu', '$1>', $data);

// Remove namespaced elements (we do not need them)
$data = preg_replace('#</*\w+:\w[^>]*+>#i', '', $data);

do
{
	// Remove really unwanted tags
	$old_data = $data;
	$data = preg_replace('#</*(?:applet|b(?:ase|gsound|link)|embed|frame(?:set)?|i(?:frame|layer)|l(?:ayer|ink)|meta|object|s(?:cript|tyle)|title|xml)[^>]*+>#i', '', $data);
}
while ($old_data !== $data);

// we are done...
return $data;
}

en iyi ve güvenli bir şekilde HTML Arıtma kullanmaktır. Zend Framework ile bunu kullanmak için bazı ipuçları için bu bağlantıyı takip edin.

HTML Purifier with Zend Framework

Ben benzer bir sorun var. Ben büyük bir WYSIWYG editörü (Redactorjs!) ile bir profil sayfasına html içerik göndermek için kullanıcıların ihtiyacı, ben teslim html temizlemek için aşağıdaki işlevi yazdı:

    <?php function filterxss($str) {
//Initialize DOM:
$dom = new DOMDocument();
//Load content and add UTF8 hint:
$dom->loadHTML('<meta http-equiv="content-type" content="text/html; charset=utf-8">'.$str);
//Array holds allowed attributes and validation rules:
$check = array('src'=>'#(http://[^\s]+(?=\.(jpe?g|png|gif)))#i','href'=>'|^http(s)?://[a-z0-9-]+(.[a-z0-9-]+)*(:[0-9]+)?(/.*)?$|i');
//Loop all elements:
foreach($dom->getElementsByTagName('*') as $node){
    for($i = $node->attributes->length -1; $i >= 0; $i--){
        //Get the attribute:
        $attribute = $node->attributes->item($i);
        //Check if attribute is allowed:
        if( in_array($attribute->name,array_keys($check))) {
            //Validate by regex:    
            if(!preg_match($check[$attribute->name],$attribute->value)) { 
                //No match? Remove the attribute
                $node->removeAttributeNode($attribute); 
            }
        }else{
            //Not allowed? Remove the attribute:
            $node->removeAttributeNode($attribute);
        }
    }
}
var_dump($dom->saveHTML()); } ?>

$ Kontrol dizisi tüm izin özellikleri ve doğrulama kuralları tutar. Belki bu biraz sizin için yararlıdır. Ben henüz test etmedim, bu yüzden ipuçları bekliyoruz

Cross-site scripting savunmasız için www.mcafeesecure.com Genel Çözüm göre (XSS) filtresi işlevi olabilir:

function xss_cleaner($input_str) {
    $return_str = str_replace( array('<','>',"'",'"',')','('), array('&lt;','&gt;','&apos;','&#x22;','&#x29;','&#x28;'), $input_str );
    $return_str = str_ireplace( '%3Cscript', '', $return_str );
    return $return_str;
}

Plz Temiz XSS xss_clean ($ veri) için deneyin: "> alert (String.fromCharCode (74,111,104,116,111,32,82,111,98,98,105,101))

etiketler