防止XSS攻击用户在PHP中提交的HTML内容，eBay方式

Question

我已经阅读了很多文章，这些文章描述了在用户提交的 HTML 内容中使用 htmlspecialchars 和正则表达式、白名单/黑名单和使用 html 过滤脚本（如 Z4C4AD5FCA2E07A3F74DBB1CED0 etc.814 Purifier, HTMLAAifier）等功能防止 XSS 攻击的方法的文章。

Unfortunately, none of these explain how a site like eBay is able to allow such a vast array of potentially malicious HTML tags such as <link> , <script> , <object> and CSS styles and HTML attributes such as background: url()等等。似乎他们允许用户在他们的项目描述中提交几乎任何东西。 我在物品描述中看到了一些最精细的 HTML、Javascript 和 Flash 模板。

eBay 有何不同之处？ 是否有我遗漏的另一种技术或层，允许他们阻止 XSS 攻击，同时仍然允许几乎任何内容包含在用户的项目描述中？

对此的任何想法或见解将不胜感激！

Answer 1

当您拥有一支程序员大军和一个装满资金的战争基金时，这很容易。

这不是火箭科学。 他们确定了一个漏洞案例，并可能通过前端的 Regex 和 Javascript 以及大量的后端验证来围绕它进行编码，以确保数据在插入之前不会受到损害。 我们都应该这样做，除了对于 Ebay，它比我们大多数人的工作要成熟得多，而且要大得多。

如果它像我以前工作的银行那样，他们有一个 PAS 团队，致力于发现产品中的微小错误，与工程师一起开票，并优先遵循流程。 在开发人员、测试人员、质量管理人员和 PAS 之间，没有理由泄露漏洞，但如果它碰巧滑倒，应该迅速做出反应。

如果您计划 go 这条路线，您应该考虑采取“渐进式增强”方法来应对这一挑战。 首先完全阻止 javascript。 然后，通过您认为安全的方法增强以允许--一些--并且仅在您继续时允许安全的内容。 继续这个过程，在捕获测试或生产中出现的边缘情况的同时，允许越来越多的情况。 逐渐地，您将从允许允许的内容转变为阻止不允许的内容。 虽然这应该不费吹灰之力，但即使是尖端公司也错过了生命周期管理和改进的基本概念。

话虽如此，在尝试清理输入时，最好将前端和后端验证方法结合起来。 前端为客户提供更直观的快速反馈，但与任何客户端语言一样，精明的用户都可以克服。 后端验证是您的防火墙，确保任何从前端溜过的东西都得到妥善处理。 您的数据库是您的生命线，因此不惜一切代价保护它！

除非你有一支军队和巨额预算，否则试图在像 CMS 这样广泛的东西上为每个边缘案例编写代码，允许近乎全权委托的输入几乎总是以失败的财务风险告终。

Answer 2

我花了一些时间来处理它，并且我能够通过构建此处列出的多年前的漏洞来alert(document.cookie) ——这是他们的黑名单显然试图阻止的事情：

http://menno.b10m.net/blog/blosxom.cgi/web/ebay-xss.html

我实际上并没有发布列表，所以我只能肯定地说这在列表预览模式下有效。

如果这是任何迹象，那么您的问题的答案是：ebay 并没有真正防止 xss 攻击。 他们有一些黑名单，但他们似乎很容易逃避。

编辑：我现在似乎在我的 ebay“关于我”页面上工作，这是一个实际的实时页面。 长话短说，ebay 过滤 XSS 的尝试似乎很可悲。

Answer 3

虽然我不能肯定地说，但有很多技术可以提供帮助。 这项工作的主要组成部分是拥有一个活跃且可用的安全+开发部门。

尽管它们肯定有过滤机制，但代码可能会在模拟器中进行评估并根据某些标准（例如可疑内容、混淆等）进行评级。

然后，还有亚马逊正在疯狂使用的Mechanical Turk方面（基本上，他们雇佣“廉价劳动力”人类来智能地判断某事）。