使用PHP来防止图像中的XSS攻击

Question

阅读http://dsecrg.com/files/pub/pdf/XSS_in_images_evasion_bypass_(eng).pdf后 ，很明显允许用户上传图片会让您受到XSS攻击。

我无法找到任何关于如何筛选上传图像进行XSS攻击的PHP示例。

我找到了一个CodeIgniter ，我正在使用它。 该函数是xss_clean($file, IS_IMAGE) ，但它只有一个文档的句子，所以我不知道它是如何工作的，并且在他们的论坛中的评论说它有一个不合理的高误报率，所以它不是可用于生产。

您建议在上传的图像中防止XSS攻击？

Answer 1

只要您保持扩展名正确（并且您的用户都在努力更新其浏览器），就不应该进行图像注入。

例如，如果有人上传alert('xss'); 作为一个图像，你有<img src='that-image.png'> ，它将作为一个png发出，JavaScript将不会执行（至少回到IE7）。 重要的是您要适当地重命名图像。

如果您有php> 5.3和finfo PECL扩展，您可以使用它来获取文件的mime类型并且具有您允许的类型的白名单（png，jpg，我想象的gif）。 如果您使用的是Linux机器，那么file也可以为您提供帮助。

Answer 2

在CodeIgniter中，有许多方法可以阻止XSS。 您可以在获取值时启用它，例如 - > post（'data'，true）。 第二个参数是XSS bool。

另外，请勿使用HTML IMG标记。 使用CodeIgniter，它将清理，查看并更容易显示图像。

只是我的两分钱！