在 PHP 站点中避免 xss 攻击的最佳做法是什么 [关闭]

Question

关闭。 这个问题需要更加集中。 它目前不接受答案。

---

想改善这个问题吗？ 更新问题，使其仅通过编辑这篇文章来关注一个问题。

5 个月前关闭。

改进这个问题

我已经配置了 PHP，以便打开魔术引号并关闭注册全局变量。

对于我输出的任何源自用户输入的内容，我都会尽我最大的努力始终调用 htmlentities()。

我也偶尔会在我的数据库中搜索附加的 xss 中使用的常用内容，例如...

<script

我还应该做什么以及我如何确保我正在尝试做的事情总是完成。

Answer 1

逃避输入并不是成功预防 XSS 的最佳方法。 还必须对输出进行转义。 如果您使用 Smarty 模板引擎，您可以使用|escape:'htmlall'修饰符将所有敏感字符转换为 HTML 实体（我使用自己的|e修饰符，它是上述的别名）。

我的输入/输出安全方法是：

• 存储未修改的用户输入（输入时没有 HTML 转义，仅通过 PDO 准备好的语句完成 DB-aware 转义）
• 转义输出，取决于您使用的输出格式（例如 HTML 和 JSON 需要不同的转义规则）

Answer 2

我认为在输入过程中不应该逃避任何事情，只能在输出中逃避。 因为（大部分时间）您不能假设您知道数据的去向。 例如，如果您的表单需要稍后出现在您发送的电子邮件中的数据，则需要不同的转义（否则恶意用户可能会重写您的电子邮件标题）。

换句话说，您只能在数据“离开”您的应用程序的最后时刻逃脱：

• 项目清单
• 写入 XML 文件，转义为 XML
• 写入数据库，转义（对于那个特定的 DBMS）
• 写电子邮件，逃避电子邮件
• 等等

做空：

1. 你不知道你的数据去哪里
2. 数据实际上可能会出现在不止一个地方，需要不同的转义机制，但不能同时存在
3. 为错误的目标转义的数据真的不好。 （例如，收到一封主题为“去汤米酒吧”的电子邮件。）

如果您在输入层转义数据（或者您需要再次对其进行转义等），则会发生 Esp #3。

PS：我会支持不使用magic_quotes的建议，那些是纯粹的邪恶！

Answer 3

有很多方法可以进行 XSS（参见http://ha.ckers.org/xss.html ），而且很难捕捉。

我个人将此委托给我正在使用的当前框架（例如 Code Igniter）。 虽然不完美，但它可能比我手工制作的例程更能吸引人。

Answer 4

这是一个很好的问题。

首先，不要对输入的文本进行转义，除非是为了安全存储（例如放入数据库）。 这样做的原因是您希望保留输入的内容，以便您可以在不同的方式和位置以上下文方式呈现它。 在此处进行更改可能会影响您以后的演示。

当你去展示你的数据时，过滤掉不应该存在的东西。 例如，如果 javascript 没有理由在那里搜索并删除它。 一个简单的方法是使用strip_tags函数并只显示您允许的 html 标签。

接下来，获取您拥有的内容并将其传递给 htmlentities 或 htmlspecialchars 以将那里的内容更改为 ascii 字符。 根据上下文和您想得到的内容执行此操作。

我也建议关闭 Magic Quotes。 它已从 PHP 6 中删除，使用它被认为是不好的做法。 详情见http://us3.php.net/magic_quotes

有关更多详细信息，请查看http://ha.ckers.org/xss.html

这不是一个完整的答案，但希望足以帮助您入门。

Answer 5

里克写道：

对于我输出的任何源自用户输入的内容，我都会尽我最大的努力始终调用 htmlentities()。

请参阅乔尔关于使代码看起来错误的文章以寻求帮助

Answer 6

模板库。 或者至少，这是模板库应该做的。 为了防止 XSS，所有输出都应该被编码。 这不是主要应用程序/控制逻辑的任务，它应该完全由输出方法处理。

如果您在整个代码中使用 htmlentities()，则整体设计是错误的。 正如您所建议的，您可能会错过一两个景点。 这就是为什么唯一的解决方案是严格的 html 编码-> 当输出变量被写入 html/xml 流时。

不幸的是，大多数 php 模板库只添加自己的模板语法，而不关心输出编码、本地化、html 验证或任何重要的事情。 也许其他人知道一个合适的 php 模板库？

Answer 7

我依赖PHPTAL 。

与 Smarty 和普通 PHP 不同，它默认转义所有输出。 这是安全方面的一大胜利，因为如果您忘记了htmlspecialchars()或|escape某处，您的站点将不会变得易受攻击。

XSS 是特定于 HTML 的攻击，因此 HTML 输出是防止它的正确位置。 您不应该尝试预先过滤数据库中的数据，因为您可能需要将数据输出到另一种不接受 HTML 但有其自身风险的媒体。

Answer 8

对于大多数站点来说，逃避所有用户输入就足够了。 还要确保会话 ID 不会出现在 URL 中，这样它们就不会被从Referer链接中窃取到另一个站点。 此外，如果您允许用户提交链接，请确保不允许使用javascript:协议链接； 这些将在用户单击链接后立即执行脚本。

Answer 9

如果您担心 XSS 攻击，将输出字符串编码为 HTML 是解决方案。 如果您记得将每个输出字符编码为 HTML 格式，则无法执行成功的 XSS 攻击。

阅读更多： 清理用户数据：如何以及在何处执行此操作

Answer 10

“魔术引号”是对一些最严重的 XSS 缺陷的一种姑息性补救措施，它通过转义输入的所有内容来工作，这是设计错误的。 唯一想要使用它的情况是，您绝对必须使用现有的 PHP 应用程序，该应用程序已知针对 XSS 编写的粗心大意。 （在这种情况下，即使使用“魔术引号”，您也会遇到严重的麻烦。）在开发您自己的应用程序时，您应该禁用“魔术引号”并遵循 XSS 安全实践。

XSS 是一种跨站点脚本漏洞，当应用程序在其 [X]HTML、CSS、ECMAscript 或其他浏览器解析的输出中包含来自外部来源（用户输入、从其他网站获取等）的字符串而未进行适当转义时，就会发生这种情况，希望诸如小于（在 [X]HTML 中）、单引号或双引号 (ECMAscript) 之类的特殊字符将永远不会出现。 正确的解决方案是始终根据输出语言的规则对字符串进行转义：在 [X]HTML 中使用实体，在 ECMAscript 中使用反斜杠等。

因为很难跟踪不可信和必须转义的内容，所以最好总是转义所有“文本字符串”而不是像 HTML 这样的语言中的“带有标记的文本”。 一些编程环境通过引入几种不兼容的字符串类型来简化它：“字符串”（普通文本）、“HTML 字符串”（HTML 标记）等。 那样的话，从“字符串”到“HTML 字符串”的直接隐式转换将是不可能的，并且字符串可以成为 HTML 标记的唯一方法是通过转义函数传递它。

“注册全局变量”虽然禁用它绝对是一个好主意，但它处理的问题与 XSS 完全不同。

Answer 11

就个人而言，我会禁用 magic_quotes。 在 PHP5+ 中，默认情况下它是禁用的，最好将其编码为根本不存在，因为它不会转义所有内容，并且将从 PHP6 中删除。

接下来，根据您过滤的用户数据的类型将决定下一步要做什么，例如，如果它只是文本，例如名称，则strip_tags(trim(stripslashes())); 它或检查范围使用正则表达式。

如果您期望某个范围的值，请创建一个有效值数组，并且只允许这些值通过 ( in_array($userData, array(...)) )。

如果您正在检查数字，请使用 is_numeric 来强制执行整数或强制转换为特定类型，这应该可以防止人们尝试发送字符串。

如果您有 PHP5.2+，那么请考虑查看filter()并使用可以过滤各种数据类型（包括电子邮件地址）的扩展。 文档不是特别好，但正在改进。

如果您必须处理 HTML，那么您应该考虑诸如PHP Input Filter或HTML Purifier 之类的东西。 HTML Purifier 还将验证 HTML 的一致性。 我不确定输入过滤器是否仍在开发中。 两者都允许您定义一组可以使用的标签以及允许使用哪些属性。

无论你做出什么决定，永远记住，永远不要相信任何来自用户（包括你自己！）的东西进入你的 PHP 脚本。

Answer 12

所有这些答案都很好，但从根本上说，XSS 的解决方案是停止通过字符串操作生成 HTML 文档。

对于任何应用程序来说，过滤输入总是一个好主意。

只要使用得当，使用 htmlentities() 和朋友转义您的输出就应该可以工作，但这是通过将字符串与 mysql_real_escape_string($var) 连接来创建 SQL 查询的 HTML 等效项 - 它应该可以工作，但可以验证您的工作的东西较少，可以这么说，与使用参数化查询之类的方法相比。

长期的解决方案应该是让应用程序在内部构造页面，可能使用像 DOM 这样的标准接口，然后使用库（如 libxml）来处理 XHTML/HTML/等的序列化。 当然，我们离流行和足够快还有很长的路要走，但与此同时，我们必须通过字符串操作来构建我们的 HTML 文档，而这本身就更具风险。

Answer 13

我发现使用这个函数有助于剔除很多可能的 xss 攻击：

<?php

function h($string, $esc_type = 'htmlall')
{
    switch ($esc_type) {
        case 'css':
            $string = str_replace(array('<', '>', '\\'), array('&lt;', '&gt;', '&#47;'), $string);
            // get rid of various versions of javascript
            $string = preg_replace(
                    '/j\s*[\\\]*\s*a\s*[\\\]*\s*v\s*[\\\]*\s*a\s*[\\\]*\s*s\s*[\\\]*\s*c\s*[\\\]*\s*r\s*[\\\]*\s*i\s*[\\\]*\s*p\s*[\\\]*\s*t\s*[\\\]*\s*:/i',
                    'blocked', $string);
            $string = preg_replace(
                    '/@\s*[\\\]*\s*i\s*[\\\]*\s*m\s*[\\\]*\s*p\s*[\\\]*\s*o\s*[\\\]*\s*r\s*[\\\]*\s*t/i',
                    'blocked', $string);
            $string = preg_replace(
                    '/e\s*[\\\]*\s*x\s*[\\\]*\s*p\s*[\\\]*\s*r\s*[\\\]*\s*e\s*[\\\]*\s*s\s*[\\\]*\s*s\s*[\\\]*\s*i\s*[\\\]*\s*o\s*[\\\]*\s*n\s*[\\\]*\s*/i',
                    'blocked', $string);
            $string = preg_replace('/b\s*[\\\]*\s*i\s*[\\\]*\s*n\s*[\\\]*\s*d\s*[\\\]*\s*i\s*[\\\]*\s*n\s*[\\\]*\s*g:/i', 'blocked', $string);
                return $string;

        case 'html':
            //return htmlspecialchars($string, ENT_NOQUOTES);
            return str_replace(array('<', '>'), array('&lt;' , '&gt;'), $string);

        case 'htmlall':
            return htmlentities($string, ENT_QUOTES);
        case 'url':
            return rawurlencode($string);
        case 'query':
            return urlencode($string);

        case 'quotes':
            // escape unescaped single quotes
            return preg_replace("%(?<!\\\\)'%", "\\'", $string);

        case 'hex':
            // escape every character into hex
            $s_return = '';
            for ($x=0; $x < strlen($string); $x++) {
                $s_return .= '%' . bin2hex($string[$x]);
            }
            return $s_return;

        case 'hexentity':
            $s_return = '';
            for ($x=0; $x < strlen($string); $x++) {
                $s_return .= '&#x' . bin2hex($string[$x]) . ';';
            }
            return $s_return;

        case 'decentity':
            $s_return = '';
            for ($x=0; $x < strlen($string); $x++) {
                $s_return .= '&#' . ord($string[$x]) . ';';
            }
            return $s_return;

        case 'javascript':
            // escape quotes and backslashes, newlines, etc.
            return strtr($string, array('\\'=>'\\\\',"'"=>"\\'",'"'=>'\\"',"\r"=>'\\r',"\n"=>'\\n','</'=>'<\/'));

        case 'mail':
            // safe way to display e-mail address on a web page
            return str_replace(array('@', '.'),array(' [AT] ', ' [DOT] '), $string);

        case 'nonstd':
            // escape non-standard chars, such as ms document quotes
            $_res = '';
            for($_i = 0, $_len = strlen($string); $_i < $_len; $_i++) {
                $_ord = ord($string{$_i});
                // non-standard char, escape it
                if($_ord >= 126){ 
                    $_res .= '&#' . $_ord . ';'; 
                } else {
                    $_res .= $string{$_i};
                }
            }
               return $_res;

        default:
            return $string;
    }
}
    
?>

来源

Answer 14

您至少应该验证进入数据库的所有数据。 并尝试验证所有离开数据库的数据。

mysql_real_escape_string 可以很好地防止 SQL 注入，但 XSS 更棘手。 您应该尽可能使用 preg_match、stip_tags 或 htmlentities！

Answer 15

当前在 PHP 应用程序中防止 XSS 的最佳方法是 HTML Purifier (http://htmlpurifier.org/)。 它的一个小缺点是它是一个相当大的库，最好与 APC 等操作代码缓存一起使用。 您可以在将不受信任的内容输出到屏幕的任何地方使用它。 htmlentities、htmlspecialchars、filter_input、filter_var、strip_tags 等更加彻底。

Answer 16

让您使用 HttpOnly 的任何会话 cookie（或所有 cookie）。 在这种情况下，大多数浏览器都会对 JavaScript 隐藏 cookie 值。 用户仍然可以手动复制 cookie，但这有助于防止直接访问脚本。 StackOverflow 在测试期间遇到了这个问题。

这不是解决方案，只是墙上的另一块砖

Answer 17

• 不要相信用户输入
• 转义所有自由文本输出
• 不要使用magic_quotes； 查看是否有特定于 DBMS 的变体，或使用 PDO
• 考虑在可能的情况下使用仅 HTTP cookie 以避免任何能够劫持会话的恶意脚本

Answer 18

使用现有的用户输入清理库来清理所有用户输入。 除非你付出很多努力，否则自己实施它永远不会奏效。

Answer 19

我发现最好的方法是使用允许您绑定代码的类，这样您就不必担心手动转义数据。

Answer 20

很难在一个不引起误报的站点上实施彻底的sql注入/xss注入预防。 在 CMS 中，最终用户可能希望使用<script>或<object>链接到其他站点的项目。

我建议所有用户使用 NoScript 安装 FireFox ;-)