防止PHP中的URL编码XSS攻击

由于我的网站存在针对XSS攻击的漏洞，因此我的网站成为符合PCI标准的网站时遇到问题。我试过使用htmlspecialchars（）和htmlentities（），但Trustwave仍然说我的网站容易受到URL编码的攻击。例如，有人可能会在我要求的url变量中输入诸如“％2522％253E％2527％253E％253CIfRaME％253E”之类的内容，但我不确定如何处理该变量。请帮忙！！谢谢:)防止PHP中的URL编码XSS攻击

来源

2012-02-08 slawson17

你真的信任Trustwave吗？ – hakre 2012-02-08 20:29:33

查看PHP IDS。 – powtac 2012-02-08 20:30:29

我可能需要一个代码示例来了解您的问题。像$ _GET这样的全球资源已经被解码。因此，在您的输出中，您只需使用** htmlspecialchars **来保护您的站点免受XSS攻击。 – mpratt 2012-02-08 20:34:04

我2cent：

如果你使用MVC，然后尝试路由之前，所有值国税发解码，并使用stript_tags()摆脱这些脏东西的。正如docs所说，案件不应该影响任何事情。

如果没有，则创建一个实用程序函数并在从URI中检索变量时执行相同的操作。但我绝不是XSS专家，所以这可能只是诀窍的一部分。

来源

2012-02-08 20:31:27

防止PHP中的URL编码XSS攻击

回答

相关问题