php – 为HTML / JavaScript注入规避htmlspecialchars(addslashe

发布时间：2020-12-13 16:54:51 所属栏目：PHP教程来源：网络整理

导读：假设一些 PHP代码通过首先将addslashes()和htmlspecialchars()应用于HTML文档来回显已清理的输入.我听说这是一种不安全的方法,但无法弄清楚原因. 关于可以将哪种格式应用于危险输入(例如脚本标记中的JavaScript)以绕过两个函数强加的安全措施的任何建议都将

假设一些 PHP代码通过首先将addslashes()和htmlspecialchars()应用于HTML文档来回显已清理的输入.我听说这是一种不安全的方法,但无法弄清楚原因.

关于可以将哪种格式应用于危险输入(例如脚本标记中的JavaScript)以绕过两个函数强加的安全措施的任何建议都将受到赞赏.

解决方法

addslashes与XSS无关(在实际有用的地方几乎总会有更好的东西).

htmlspecialchars不是一种不安全的方法.它本身就是不够的.

如果您将内容作为“安全”元素的主体,htmlspecialchars将保护您.

如果您将内容作为“安全”属性的值,如果您也正确引用该值,它将保护您.

如果您将其作为“不安全”属性或元素(其中内容可被视为JavaScript)的值(例如< script>,onmoSEOver,href或style),则不会保护您.

例如：

<!-- http://example.com/my.php?message=",steal_your_cookies()," -->
<!-- URL not encoded for clarity. Imagine the definition of steel_your_cookies was there too -->

<button onclick='alert("<?php echo htmlspecialchars($_GET['message']); ?>")'>
   click me
</button>

会给你：

<button onclick='alert("&quot;,&quot;")'>
   click me
</button>

这意味着：

<button onclick='alert("","")'>
   click me
</button>

单击按钮时会窃取您的cookie.

（编辑：李大同）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!