Câu hỏi/Làm rõ PHP XSS

Question

Điều này đã được hỏi trước nhưng tôi cần 100% rõ ràng về vấn đề này vì điều rất quan trọng đối với tôi là phải làm đúng.

Tình huống: Hệ thống tin nhắn trên trang web. Người dùng nhập một tin nhắn vào một hộp văn bản, họ gửi biểu mẫu và nó được nhập vào cơ sở dữ liệu. Dữ liệu này sau đó có thể được gọi từ cơ sở dữ liệu và được hiển thị trong các thẻ <span> cho người dùng khác.

Tôi cần thực hiện các thủ tục bảo mật nào để ngăn chặn dữ liệu này độc hại? Tôi đã sử dụng mysql_real_escape_string để ngăn chặn bất kỳ tiêm và strip_tags có vẻ hữu ích nhưng tôi đã nghe rất nhiều tên khác được đề cập. Tôi cần sử dụng những gì để bảo vệ dữ liệu này vì nó chỉ được hiển thị trong các thẻ <span>?

Cảm ơn bạn.

Answer 1

Quan niệm sai lầm là bạn muốn thoát khỏi đầu vào. Bạn phải lọc đầu ra (và cơ sở dữ liệu cũng là đầu ra).

Điều này có nghĩa là khi biểu mẫu được gửi, bạn sử dụng mysql_real_escape_string() để gửi dữ liệu (đầu ra) tới cơ sở dữ liệu và bạn sử dụng htmlspecialchars() để xuất nội dung trên màn hình. Nguyên tắc tương tự áp dụng cho cụm từ thông dụng, nơi bạn sẽ sử dụng preg_quote(), v.v.

Bất kể dữ liệu đến từ đâu, bạn phải thoát khỏi nó trong ngữ cảnh bạn gửi nó đến.

Vì vậy, để ngăn chặn các cuộc tấn công XSS, bạn phải sử dụng htmlspecialchars()/htmlentities(). mysql_real_escape_string không liên quan gì đến XSS (nhưng bạn vẫn phải sử dụng nó khi bạn đang gửi dữ liệu đến cơ sở dữ liệu).

Answer 2

Sử dụng htmlspecialchars khi xuất trên trang HTML. Nó sẽ hiển thị dữ liệu giống như cách người dùng nhập vào (vì vậy người dùng có thể sử dụng một cái gì đó như <3 trong tin nhắn của họ mà không tước phần còn lại)

Answer 3

Vui lòng kiểm tra Bảng gian lận ngăn ngừa XSS của OWASP. Nó sẽ giải thích cách tránh XSS cho các ngữ cảnh khác nhau. Htmlentities nên làm công việc khi giữa các thẻ.