Фильтрация пользовательского ввода - нужно ли фильтровать HTML?

Question

Примечание: я забочусь о внедрении SQL-кода и выходе из него в другом месте - этот вопрос касается только фильтрации ввода, спасибо.

Я занимаюсь рефакторингом своих функций фильтрации пользовательского ввода. Перед передачей параметра GET / POST в фильтр определенного типа с помощью filter_var () я делаю следующее:

• проверить кодировку параметров с помощью mb_detect_encoding ()
• преобразовать в UTF-8 с помощью iconv () (с // IGNORE), если это не ASCII или UTF-8
• очистить пробелы с помощью функции, найденной на GnuCitizen.org
• передать результат через strip_tags () - теги запрещены вообще, только уценка

Теперь вопрос: имеет ли смысл передавать параметр в фильтр типа htmLawed или Очиститель HTML , или я могу считать ввод безопасным? Мне кажется, что эти два отличаются в основном по степени детализации разрешенных HTML-элементов и атрибутов (которые меня не интересуют, так как я все удаляю), но в документах htmLawed есть раздел о опасных символах это предполагает, что может быть причина использовать это. В этом случае, что было бы вменяемой конфигурацией для него?

Answer 1

Есть много разных подходов к XSS, которые являются безопасными. Единственная причина, по которой нужно знать, подходит ли ваш подход, состоит в том, чтобы проверить его в процессе эксплуатации. Я рекомендую использовать Бесплатный XSS сканер уязвимостей * или с открытым исходным кодом wapiti .

Если честно, я никогда не буду использовать strip_tags (), потому что вам не всегда нужны HTML-теги для выполнения JavaScript! Мне нравится htmlspecialchars($var,ENT_QUOTES);.

Например, это уязвимо для xss:

print('<A HREF="http://www.xssed.com/'.strip_tags($_REQUEST[xss]).'">link</a>');

Вам не нужно <> выполнять javascript в этом случае, потому что вы можете использовать Вот пример атаки:

$_REQUEST[xss]='" onMouseOver="alert(/xss/)"';

ENT_QUOTES позаботится о двойных кавычках, которые исправят эту уязвимость XSS.

* Я связан с этим сайтом / сервисом.

Answer 2

я думаю, что вы делаете безопасно, по крайней мере, с моей точки зрения, HTML-код не должен проходить через ваш фильтр