Является ли наличие mod_security и htmlpurifier излишним?

Question

Ранее в наш продукт на основе LAMP был встроен htmlpurifier, но он был немного медленным. Недавно мы включили mod_security. Оба они являются частью проекта OWASP (owasp использовал htmlpurifer для своей последней проверки), поэтому я считаю, что безопасность избыточна.

Что бы вы предложили? Является ли отключение htmpurifier приемлемым вариантом? Спасибо за любые ответы.

Answer 1

Они оба делают разные вещи.mod_security - черный список.Он охватывает некоторые общие эксплойты (среди них XSS, SQL-инъекция, обратный путь в каталогах, URL-инъекция и другие) и прошлые ошибки приложения, но, вероятно, его легче устранить с помощью более сложных кодировок и специфических для приложения способов обхода фильтров.(Он часто просто проверяет некоторые параметры URL.)

HTMLPurifier на самом деле требует только санации HTML, но это довольно хорошо.Это фильтр белого списка, поэтому по определению более безопасный.Это конечно медленно.Вот почему вы должны применять его только к входящим данным, а не как универсальный фильтр для всего и везде.Если это замедляет работу вашего приложения, вы можете использовать его в неправильных местах.