0

Необходимо обработать сообщение и засунуть в базу. Но как я не старался сделать безопасней утечки не получается. Вообщем делаю сайт на PHP. Мне нужно сделать защиту от XSS для комментариев на сайте. Обрабатываю вот как:

$test = trim(htmlspecialchars($test));

так же еще есть класс для обработки XSS из code-igniter, но не помогает. Если сделать как я показал обработку, то за место <script> будет [removed], а теги меняются на кракозябры. Если же отправить текст вот такой

<sc<script>alert('XSS');</script></ript>

то при выполнение php ругается, но в базу его кидает. Хочется сделать как на этом сайте, то есть, все отображается в виде текста, а не опасного кода. =) Кто и что может посоветовать? Какие библиотеки, методы и т.д. ?

5
  • 2
    Приведите текст ошибки и пример "кракозябров", на которые у вас меняются теги после вызова htmlspecialchars 14 янв 2012 в 10:43
  • А еще лучше - ваш код
    – user3545
    14 янв 2012 в 10:53
  • Если использовать исключительно теги HTML, то они отображаются нормально. Только вставить PHP код: <? echo "test"; ?> будет &lt;? echo "test"; ?&gt; , а про js вообще молчу. Так же, хочу сказать. Мой "не любимый" htmlspecialchars(); не спасет. Достаточно через Character Encoding Calculator перекодировать в URL код, вставить текст, то весь опасный код выполняется. Работает js,html,php. Вообщем эти стандартный методы не безопасны. Если знаете уже готовые библиотеки, то хотелось бы узнать названия. А если же нет, то хочу услышать методы реализации. 14 янв 2012 в 11:10
  • Вот мне интересно, как реализованы подобные вещи на CMS, форумах и т.д. Копался в форуме phpBB 3. Там все безопасность хорошая. Но в коде не нашел реализацию такой обработки. 14 янв 2012 в 11:12
  • Только что проверил у себя в скрипте <?php echo "test"; ?>, всё отображается нормально 14 янв 2012 в 11:29

5 ответов 5

1

Алгоритм предельно прост:

  • При вставке в БД экранируйте данные при помощи mysql_real_escape_string или аналогичной функции. Никаких других преобразований при в ставке в БД делать не нужно.
  • При выводе в браузер, полученные из БД данные, фильтруйте при помощи htmlspecialchars. Эта функция преобразует все HTML спецсимволы типа <, > или & в специальные HTML-сущности, которые никак не интерпретируются браузером, а только отображают соответствующий символ.

В большинстве случаев этих двух простых правил вполне достаточно, что бы защитится от XSS.

PS Тег <pre> нужен совсем для других целей.

PPS Текст "&lt;? echo "test"; ?&gt;" в браузере будет отображен как "<? echo "test"; ?>" (см. ссылки про HTML-сущности и структуру HTML документа)

6
  • htmlspecialchars аффтару не падходит
    – user3545
    14 янв 2012 в 11:28
  • AlexWindHope, Тролишь? Троли. 14 янв 2012 в 11:32
  • Я как-раз не тролю, вы создали 2 одинаковых вопроса, раскидали кучу пафосных комментариев а причиной тому оказалось то, что вы не знаете мат.части. ( а именно информации по ссылкам HTML-сущности и структуру HTML документа ) При этом, когда вам неоднократно писали что проблема в вашем коде ( либо в вас самих ), вы уверенно это игнорировали и называли это тролингом. По сути получилось так, что, для вас, правильным ответом на вопрос "Обработка данных от XSS" оказалась матчасть по HTML-сущностям. Не находите это странным?
    – user3545
    14 янв 2012 в 11:40
  • И да - здесь вы писали следующее: htmlspecialchars() не предлагать и функции наподобие ( это дабы не быть голословным ) Ну и в подтверждение моему комментарию
    – user3545
    14 янв 2012 в 11:42
  • @AlexWindHope, может успокоитесь уже? Боритесь за чистоту форума? - Так начните с себя. 14 янв 2012 в 11:46
0

htmlentities( )


 // дела :D
echo trim(htmlspecialchars('<sc<script>alert("EVEL HACK");</script></ript>'));
// -> скрипт не отрабатывает, сущности преобразованы, в чем проблема?

// по поводу PHP ругается - вы не задумывались что проблема в вашем коде? ;D

Могу я увидеть текст ошибки?

7
  • Я пробовал все стандартные функции php по обработке. Все плохо работают. Мне не нужны кракозябры. Нужно чтобы любой текст и код выводился как обычный текст. 12 янв 2012 в 16:58
  • 1
    @Избранный как вы точно ник себе подобрали :DDD
    – user3545
    12 янв 2012 в 17:00
  • 1
    Трололо. Лучше помог бы, чем тролить по сайту. 12 янв 2012 в 17:04
  • 1
    Почему-то представляется Fallout 2 и старейшина просит избранного найти исходники Google.
    – culebre
    12 янв 2012 в 17:04
  • 1
    Все правильно не работает как надо код - виноват создатель. Смотри var_dump -ом переменные по ходу выполнения, а точнее ближе к месту проверки данных.
    – culebre
    12 янв 2012 в 17:18
0

Попробуйте striptags();.

8
  • а вот этого точно делать ненадо =)
    – user3545
    12 янв 2012 в 17:39
  • Что за бред? 13 янв 2012 в 9:26
  • Почему бред? Вырежет PHP и HTML теги, сделает пол работы. 13 янв 2012 в 9:30
  • Зачем вырезать то? Мне вот именно надо, чтобы и эти скрипты читал за текст и выводил как обычные сообщения. 13 янв 2012 в 11:35
  • 2
    Может быть до тебя уже дойдёт, что дело в твоём коде? 14 янв 2012 в 3:30
0

Вот мой класс. Я его использую как раз для валидации различный параметров. Тебе нужен Validate.

Правда, в данном примере он проверяет контент на наличие sql_injection, xss.

Вобщем, если что, его ооочень просто расширить для своих нужд :)) И в качестве бонуса есть парочку дополнительных функций проверки валидности телефона, мыла.......

Вот класс:

    <?

interface i_validate_request {   
    public function check_login(LoginField $formField);         //Check validation login format
    public function check_mail(EmailField $formField);          //Check validation email format
    public function check_phone(PhoneField $formField);             //Check validation phone format
}

interface i_get_request {
    public function accept(i_validate_request $v);              //Check validation
}

class LoginField implements i_get_request {
    private $_login = null;

    public function setLogin($login) {
        $this->_login = $login;
    }
    public function getLogin() {
        return $this->_login;
    }
    public function accept(i_validate_request $v) {
        return $v->check_login($this);
    } 
}

class EmailField implements i_get_request {
    private $_email = null;

    public function setEmail($email) {
        $this->_email = $email;
    }

    public function getEmail() {
        return $this->_email;
    }

    public function accept(i_validate_request $v) {
        return $v->check_mail($this);
    }
}

class PhoneField implements i_get_request {
    private $_phoneNumber = null;

    public function setPhoneNumber($phoneNumber) {
        $this->_phoneNumber = $phoneNumber;
    }

    public function getPhoneNumber() {
        return $this->_phoneNumber;
    }

    public function accept(i_validate_request $v) {
        return $v->check_phone($this);
    }
}

class XssChecker implements i_validate_request {
    public function check_login(LoginField $formField) {
        return preg_match('/script/i', $formField->getLogin())>0 ? false : true;        
    }
    public function check_mail(EmailField $formField) {
        return preg_match('/script/i', $formField->getEmail())>0 ? false : true;
    }
    public function check_phone(PhoneField $formField) {
        return preg_match('/script/i', $formField->getPhoneNumber())>0 ? false : true;        
    }   
}

class SqlInjectionChecker implements i_validate_request {
    public function check_login(LoginField $formField) {
        return  preg_match('/\w*((\%27)|(\'))((\%6F)|o|(\%4F))((\%72)|r|(\%52))/ix',  $formField->getLogin())>0 ? false : true;        
    }
    public function check_mail(EmailField $formField) {
        return  preg_match('/\w*((\%27)|(\'))((\%6F)|o|(\%4F))((\%72)|r|(\%52))/ix',  $formField->getEmail())>0 ? false : true;
    }
    public function check_phone(PhoneField $formField) {
        return  preg_match('/\w*((\%27)|(\'))((\%6F)|o|(\%4F))((\%72)|r|(\%52))/ix',  $formField->getPhoneNumber())>0 ? false : true;        
    }
}

class FormatValidator implements i_validate_request {
    public function check_login(LoginField $formField) {
        return preg_match('/^[a-zA-Z ]+$/', $formField->getLogin())>0 ? true : false;        
    }
    public function check_mail(EmailField $formField) {
        return preg_match('/^[^@]+@[a-zA-Z0-9._-]+\.[a-zA-Z]+$/', $formField->getEmail())>0 ? true : false;
    }
    public function check_phone(PhoneField $formField) {
        return preg_match('/^8-[0-9]{3}-[0-9]{3}-[0-9]{4}$/i', $formField->getPhoneNumber())>0 ? true : false;  
    }
}

class Validate {

    private $paramFields,
        $formatValidator,
        $sqlInjectionChecker,
        $xssChecker;

    function __construct($login) {

        $formatValidator = new FormatValidator();
        $sqlInjectionChecker = new SqlInjectionChecker();
        $xssChecker = new XssChecker();

        $this->sqlInjectionChecker = $sqlInjectionChecker;
        $this->formatValidator = $formatValidator;
        $this->xssChecker = $xssChecker;

        $this->paramFields['LoginField'] =  new LoginField();
        $this->paramFields['LoginField']->setLogin($login);
    }
    public function main() {
        $paramFieldsWithErrors = array();       
        foreach($this->paramFields as $key) {
            if(     $key->accept($this->formatValidator) === false || 
                $key->accept($this->sqlInjectionChecker) === false ||  
                $key->accept($this->xssChecker) === false )
                $paramFieldsWithErrors[] = $key;
        }
        if(!$paramFieldsWithErrors)
            return true;
        return false;   
    }
}
?>
6
  • Класс хорош, но как раз валидация у меня на высшем уровне. Но, при валидации нужно пользователям соблюдать правила валидации чтобы не было ошибок. А если человека хочет написать какой-нибудь код, или что-нибудь в этом духе, то будут ошибки, а нужно чтобы любой текст и код читался и выводился как текст и не перекодировались символы. 13 янв 2012 в 9:24
  • на высшем уровне? Что-то сильно сомневаюсь в этом
    – user3545
    13 янв 2012 в 17:52
  • Класс валидации, который я использую, популярен, уже используется много лет - Никто не жаловался! И он реально надежный. 13 янв 2012 в 17:55
  • популярен, никто не жаловался... О да - это аргументы... Если что - IE тоже популярен, ниче?
    – user3545
    13 янв 2012 в 17:58
  • @Избранный продлил мне жизнь ещё на 5 лет :) 14 янв 2012 в 3:29
0

alt text

У меня всё хорошо, всё работает =|

1

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.