Là htmlentities() bullet proof?

Question

Tôi đã tự hỏi về tính bảo mật của việc sử dụng hàm htmlentities() chống lại các cuộc tấn công XSS và có thể các chức năng liên quan như htmlspecialchars.

thanks a lot :)

Answer 1

Bạn sẽ cần phải chỉ định rõ ràng mã hóa thích hợp (ví dụ: utf-8), Chris đã có một bài về cách đưa mã thậm chí htmlentities gọi mà không cần mã hóa thích hợp.

http://shiflett.org/blog/2005/dec/google-xss-example

Answer 2

Nó không phải là chống đạn, nó không bao giờ giúp bạn tiết kiệm 100%. Bạn phải nhớ rằng khi nói đến an ninh, nhà phát triển chịu trách nhiệm về nó. Ngôn ngữ cung cấp các chức năng bảo mật tốt và nhiều hơn nữa, do đó, nhà phát triển có thể bảo mật trang web của họ cho dù họ sử dụng phương pháp tiếp cận danh sách trắng hoặc phương pháp tiếp cận danh sách cấm. Nếu htmlentities là tất cả, khuôn khổ như codeigniter, kohana và nhiều hơn nữa sẽ không có đến với các chức năng bảo mật tuyệt vời của riêng mình.

Điều quan trọng nhất là vệ sinh và lọc bất kỳ đầu vào nào đến từ người dùng.

Answer 3

Không, các chức năng như htmlspecialchars và htmlentities không được bảo vệ chống lại tất cả các trường hợp Script Cross-Site Scripting.

Các trường hợp trong đó các chức năng sẽ không giúp là:

• Các khai thác dữ liệu không đạt máy chủ (DOM dựa trên XSS).
• Dữ liệu khai thác không được diễn giải trong ngữ cảnh HTML và các ký tự đặc biệt được mã hóa bởi các chức năng này là not required hoặc not the only ones that are special in the corresponding context.

Đặc biệt lý do sau thường bị bỏ qua. Có rất nhiều ví dụ trong số OWASP’s XSS Prevention Cheat Sheet cho nơi tiêm có thể xảy ra trong tài liệu HTML. Nhưng không phải tất cả yêu cầu bất kỳ ký tự đặc biệt HTML nào để tiêm và thực thi mã JavaScript.