<input id="ik4oi"><tt id="ik4oi"></tt></input>
<input id="ik4oi"></input>
  • <menu id="ik4oi"></menu>

    將想法與焦點和您一起共享

    如何在php中修補XSS漏洞發布者:本站     時間:2020-05-06 16:05:52

    在PHP中修補XSS漏洞,我們可以使用三個PHP函數。

    這些函數主要用于清除HTML標志,這樣就沒辦法注入代碼了。使用更多的函數是htmlspecialchars() ,它可以將所有的"<"與">"符號轉換成"<" 與">;"。其它可供選擇的函數還有htmlentities(), 它可以用相應的字符實體(entities)替換掉所有想要替換掉的特征碼(characters)。

    PHP Code:

    // 這里的代碼主要用于展示這兩個函數之間輸出的不同

    $input = '';

    echo htmlspecialchars($input) . '
    ';

    echo htmlentities($input);

    ?>

    htmlentities()的另一個例子

    PHP Code:

    $str = "A 'quote' is bold";

    echo htmlentities($str);

    echo htmlentities($str, ENT_QUOTES);

    ?>

    第一個顯示: A 'quote' is <b>bold</b>

    第二個顯示:A 'quote' is <b>bold</b>

    htmlspecialchars()使用實例

    PHP Code:

    $new = htmlspecialchars("Test", ENT_QUOTES);

    echo $new;

    ?>

    顯示: <a href='test'>Test</a>

    strip_tags()函數代替.刪除所有的HTML元素(elements),除了需要特別允許的元素之外,如:, 或

    .

    strip_tags()使用實例

    PHP Code:

    $text = '

    Test paragraph.

    Other text';
    echo strip_tags($text);

    echo "\n";

    // allow


    echo strip_tags($text, '

    ');

    ?>

    現在我們至少已經知道有這些函數了,當我們發現我們的站點存在XSS漏洞時就可以使用這些代碼了。我最近在我的站點上的GoogleBig(一個Mybb論壇的插件)視頻部分發現了一個XSS漏洞,因此我就在想如何使用這些函數寫段代碼來修補這個搜索漏洞。

    首先我發現問題出在search.php這一文件上,現在讓我們看看這個查詢及輸出查詢結果中的部分代碼研究一下:

    PHP Code:

    function search($query, $page)

    {

    global $db, $bgcolor2, $bgcolor4, $sitename, $io_db, $module_url, $list_page_items, $hm_index;

    $option = trim($option);

    $query = trim($query);

    $query = FixQuotes(nl2br(filter_text($query)));

    $db->escape_string($query);

    $db->escape_string($option);

    alpha_search($query);

    ...

    在這種情況下,我們通過使用$query這一值作為變量,然后使用htmlentities()這一函數:

    PHP Code:

    $query = FixQuotes(nl2br(filter_text(htmlentities($query))));

    如果你對這三種函數還有有疑問可以使用PHP手冊來查看:

    http://it.php.net/htmlentities

    http://it2.php.net/htmlspecialchars

    http://it2.php.net/strip_tags



    選擇我們,優質服務,不容錯過
    1. 優秀的網絡資源,強大的網站優化技術,穩定的網站和速度保證
    2. 15年上海網站建設經驗,優秀的技術和設計水平,更放心
    3. 全程省心服務,不必擔心自己不懂網絡,更省心。
    ------------------------------------------------------------
    24小時聯系電話:021-58370032
    92国产精品午夜福利_国产亚洲美女精品久久久_在线观看亚洲区激情AV_国产人无码A在线西瓜影音_人妻少妇精品视频三区二区一区