利用PHP编程防范XSS跨站脚本攻击
国内不少论坛都存在跨站脚本漏洞，国外也很多这样的例子，甚至Google也出现过，不过在12月初时修正了。(编者注：关于跨站脚本漏洞攻击，读者可参阅《详解XSS跨站脚本攻击》)。跨站攻击很容易就可以构造，而且非常隐蔽，不易被查觉（通常盗取信息后马上跳转回原页面）。如何攻击，在此不作说明（也不要问我），主要谈谈如何防范。首先，跨站脚本攻击都是由于对用户的输入没有进行严格的过滤造成的，所以我们必须在所有数据进入我们的网站和数据库之前把可能的危险拦截。针对非法的HTML代码包括单双引号等，可以使用htmlentities() 。
＜?php
$str = "A 'quote' is ＜b＞bold＜/b＞";
// Outputs: A 'quote' is <b>bold</b>
echo htmlentities($str);
// Outputs: A 'quote' is <b>bold</b>
echo htmlentities($str, ENT_QUOTES);
?＞
$str = "A 'quote' is ＜b＞bold＜/b＞";
// Outputs: A 'quote' is <b>bold</b>
echo htmlentities($str);
// Outputs: A 'quote' is <b>bold</b>
echo htmlentities($str, ENT_QUOTES);
?＞
这样可以使非法的脚本失效。
但是要注意一点，htmlentities()默认编码为 ISO-8859-1，如果你的非法脚本编码为其它，那么可能无法过滤掉，同时浏览器却可以识别和执行。这个问题我先找几个站点测试后再说。
这里提供一个过滤非法脚本的函数：
function RemoveXSS($val) {
// remove all non-printable characters. CR(0a) and LF(0b) and TAB(9) are allowed
// this prevents some character re-spacing such as ＜javascript＞
// note that you have to handle splits with , , and later since they *are* allowed in some inputs
$val = preg_replace('/([x00-x08][x0b-x0c][x0e-x20])/', '', $val);
// straight replacements, the user should never need these since they're normal characters
// this prevents like ＜IMG SRC=@avascript:a&
_#X6Cert('XSS')＞
$search = 'abcdefghijklmnopqrstuvwxyz';
$search .= 'ABCDEFGHIJKLMNOPQRSTUVWXYZ';
$search .= '1234567890!@#$%^&*()';
$search .= '~`";:? /={}[]-_|'';
// remove all non-printable characters. CR(0a) and LF(0b) and TAB(9) are allowed
// this prevents some character re-spacing such as ＜javascript＞
// note that you have to handle splits with , , and later since they *are* allowed in some inputs
$val = preg_replace('/([x00-x08][x0b-x0c][x0e-x20])/', '', $val);
// straight replacements, the user should never need these since they're normal characters
// this prevents like ＜IMG SRC=@avascript:a&
_#X6Cert('XSS')＞
$search = 'abcdefghijklmnopqrstuvwxyz';
$search .= 'ABCDEFGHIJKLMNOPQRSTUVWXYZ';
$search .= '1234567890!@#$%^&*()';
$search .= '~`";:? /={}[]-_|'';
补充：Php教程,Php常用代码
- 更多php疑问解答：
- php使用imagick将image图片转化为字符串模式
- php通过gd实现图片图片转换为字符图代码
- PHP把图片转base64代码，php把base64代码转换为图片并保存
- PHP把图片base64转换成图片并保存成文件
- wordpress问题<?php if(have_posts()) : ?>
- 建设一个搜索类网站php还是jsp，数据库那个好
- 没理由啊 php代码无法执行，貌似有语法错误。。。
- 关于PHP 和API 的一段代码不懂啊不懂，请高手指点！ 这是淘宝API的
- php语言中，序列化到底在那里使用？它的优势是什么？劣势是什么？
- PHP函数等于或等于应该怎么表达
- 请教php高手，解决basename函数和mb_substr函数处理中文文件名称的解决方法，在上传文件时，总是出现乱码
- .NET，PHP，JAVA，JS优秀点分别是？
- 织梦cms 在环境监测的时候 wamp5 gd不支持 是为什么。;extension=php_gd2.dll这一句我删除了还是不显示？
- 我想学PHP。1.应安装什么编程工具？ 2. 装LIUNX系统是装简易的还是？什么版本的？3.还应安装什么？
- <?php 和 <? 有什么区别