XSS学习笔记（五）-XSS防御

最新推荐文章于 2021-03-10 11:12:33 发布

1_f0rm4t3d

最新推荐文章于 2021-03-10 11:12:33 发布

阅读量1.8k

点赞数

分类专栏：信安学习 Web渗透学习文章标签： XSS防御 XSS 跨站脚本攻击

本文链接：https://blog.youkuaiyun.com/l_f0rm4t3d/article/details/24429397

版权

信安学习同时被 2 个专栏收录

22 篇文章

订阅专栏

Web渗透学习

10 篇文章

订阅专栏

本文探讨了XSS攻击的防御策略，强调了输入和输出过滤的重要性。介绍了如何在输入端过滤敏感字符，如 ' " , < > 等，并在输出时进行转义或过滤特定标签。同时提到了浏览器防御措施，如开启XSS filter。还分享了一个PHP XSS过滤函数clean_xss()的示例，用于清理和保护数据。" 86591062,5618741,从零开始：LiteOS移植到STM32实战指南,"['LiteOS', 'STM32移植', 'RTOS', '物联网开发', '嵌入式']

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

只要是产生XSS的地方都是伴随着输入或者输出的，所以抓住问题的主要矛盾，问题也就有了解决的方法了：可以在输入端严格过滤，也可以在输出时候过滤，就是在从用户输入的或输出到用户的GET或POST中是否有敏感字符：

输入过滤：
过滤 ' " , < > \ <!--
客户端：开启 XSS filter

输出过滤（转义）：
转义： ' " \ < <!-- (转义为  等HTML硬编码)
过滤： <script> href </script>模型， window.location 模型等

浏览器防御：IE 8 以上的内核开启 XSS filter ，chrome ctrl+ shift + N 开启隐身浏览， firefox Noscript 插件

其实有很多测试XSS攻击的工具：

Paros proxy (http://www.parosproxy.org)
Fiddler (http://www.fiddlertool.com/fiddler) (点击Toolbar上的"TextWizard" 按钮)
Burp proxy (http://www.portswigger.net/proxy/)
TamperIE (http://www.bayden.com/dl/TamperIESetup.exe)

下面贴一个常见的php过滤XSS的函数：


<?PHP
/**
 * @blog http://www.phpddt.com
 * @param $string
 * @param $low 安全别级低
 */
function clean_xss(&$string, $low = False)
{
    if (! is_array ( $string ))
    {
        $string = trim ( $string );
        $string = strip_tags ( $string );
        $string = htmlspecialchars ( $string );
        if ($low)
        {
            return True;
        }
        $string = str_replace ( array ('"', "\\", "'", "/", "..", "../", "./", "//" ), '', $string );
        $no = '/%0[0-8bcef]/';
        $string = preg_replace ( $no, '', $string );
        $no = '/%1[0-9a-f]/';
        $string = preg_replace ( $no, '', $string );
        $no = '/[\x00-\x08\x0B\x0C\x0E-\x1F\x7F]+/S';
        $string = preg_replace ( $no, '', $string );
        return True;
    }
    $keys = array_keys ( $string );
    foreach ( $keys as $key )
    {
        clean_xss ( $string [$key] );
    }
}
//just a test
$str = 'phpddt.com<meta http-equiv="refresh" content="0;">';
clean_xss($str); //如果你把这个注释掉，你就知道xss攻击的厉害了
echo $str;
?>

通过clean_xss()就过滤了恶意内容！