Kullanıcı girişi filtrelemesi - HTML'yi filtrelemeli miyim?

Question

Not: Başka bir yerden sızan SQL enjeksiyonu ve çıkışına dikkat ediyorum - bu soru yalnızca giriş filtrelemesiyle ilgilidir.

Kullanıcı filtreleme işlevlerimin yeniden yapılandırılmasının ortasındayım. o ise

• onay mb_detect_encoding()
• ile parametre kodlama (YOKSAY // ile) iconv() ile UTF-8 dönüştürmek: filter_var() bir türe özel filtreye GET/POST parametresi geçirmeden önce ben aşağıdakileri yapın değil ASCII veya UTF-8
• strip_tags() aracılığıyla geçmesi sonucunu a function found on GnuCitizen.org ile
• temiz beyaz-boşluk - hiç izin yok etiketleri, Markdown sadece

Şimdi soru: parametreyi htmLawed veya HTML Purifier gibi bir filtreye geçirmek hala mantıklı mı, yoksa girişi güvenli olarak düşünebilir miyim? Bana öyle geliyor ki, bu ikisi çoğunlukla izin verilen HTML öğelerinin ve özniteliklerinin (her şeyi kaldırdığım gibi ilgilenmediğim) ayrıntılarına göre farklıdır, ancak htmLawed belgelerinin bir nedeni olabileceğini düşündüren 'dangerous characters' bölümü vardır. onu kullanmak için. Bu durumda, bunun için bir mantıksal konfigürasyon ne olurdu?

Answer 1

senin filtreden almalısınız güvenli olduğunu düşünüyorum. Yaklaşımınızın su tutup tutmayacağını bilmenin tek nedeni, sömürüyü test etmektir. Free XSS vulnerability Scanner * veya açık kaynak kodlu wapiti kullanmanızı öneririm.

Dürüst olmak gerekirse strip_tags() herhangi bir zamanda kullanmayın çünkü javascript'i çalıştırmak için her zaman html etiketlerine ihtiyacınız yoktur! htmlspecialchars($var,ENT_QUOTES);'u seviyorum. Bu xss karşı savunmasızdır Örneğin

:

$_REQUEST[xss]='" onMouseOver="alert(/xss/)"'; 

: Eğer onmouseover kullanabilirsiniz çünkü

print('<A HREF="http://www.xssed.com/'.strip_tags($_REQUEST[xss]).'">link</a>'); 

Sen <> bu durumda javascript yürütmek gerekmez aşağıda bir örnek saldırıdır

ENT_QUOTES, bu XSS güvenlik açığını yayacak çift tırnaklardan sorumlu olacaktır.

* Bu siteye/hizmete bağlandım.

Answer 2

i ne yaptığınızı benim açımdan en azından hiçbir html kodu güvenli XSS için birçok farklı yaklaşım vardır