php 过滤存储型XSS攻击

最新推荐文章于 2025-06-26 11:45:09 发布

萧-青

最新推荐文章于 2025-06-26 11:45:09 发布

阅读量4.1k

点赞数 1

CC 4.0 BY-SA版权

分类专栏： php

本文链接：https://blog.youkuaiyun.com/qq_39131177/article/details/93212392

最近做的项目被测试测出了存在存储型XSS，至此记录一下，问题出在了 input 框：payload："a" οnclick=alert(1)>
也做了一些XSS过滤，但是不全，有从网上找了一些，弄了一个简单粗暴的

后台接收 input 框字符串内容，存在被攻击，便整理了一个比较粗暴的方法
//过滤存储型XSS攻击

//过滤存储型XSS攻击
public function safe_filter(&$string) 
{
    $ra=Array('/([\x00-\x08,\x0b-\x0c,\x0e-\x19])/','/script/','/javascript/','/vbscript/','/expression/','/applet/','/meta/','/xml/','/blink/','/link/','/style/','/embed/','/object/','/frame/','/layer/','/title/','/bgsound/','/base/','/onload/','/onunload/','/onchange/','/onsubmit/','/onreset/','/onselect/','/onblur/','/onfocus/','/onabort/','/onkeydown/','/onkeypress/','/onkeyup/','/onclick/','/ondblclick/','/onmousedown/','/onmousemove/','/onmouseout/','/onmouseover/','/onmouseup/','/onunload/');
        $data=str_replace(array('&','<','>'),array('&amp;','&lt;','&gt;'),$data);   
    if (!get_magic_quotes_gpc())             //不对magic_quotes_gpc转义过的字符使用    addsla