Q&A
PHPのネイティブの機能だけではXSS攻撃を防げないという意見を聞きました。
XSS攻撃の例で、htmlspecialchars()やhtmlentites()を突破するようなケースを教えてください。
回答2件
0
PHPのネイティブの機能だけではXSS攻撃を防げない
というのがどういうことなのかわかりませんが htmlspecialchars だけでは防げない例としてよくあげられるのは次のようなものな気がします。
lang
1<?php 2$url = "javascript:alert('oreore')"; 3?> 4<!DOCTYPE html> 5<html lang="ja"> 6<head> 7 <meta charset="utf-8"> 8 <title></title> 9</head> 10<body> 11 <a href="<?= htmlspecialchars($url, ENT_QUOTES, 'UTF-8') ?>">XXX</a> 12</body> 13</html>
投稿2014/11/27 01:00
総合スコア4514
0
たとえばUTF-7によるXSS攻撃ですが、以下の例では、JavaScriptのタグを洗浄できていません。
lang
1$str = "+ADw-script+AD4-alert('Dangerous+ACE')+ADsAPA-/script+AD4-"; 2header("Content-Type: text/html; charset=UTF-7"); 3 4// htmlentities() 5echo htmlentities($str,ENT_COMPAT | ENT_HTML401, 'UTF-8') . "\n"; 6// htmlspecialchars() 7echo htmlspecialchars($str, ENT_COMPAT | ENT_HTML401, 'UTF-8') . "\n"; 8
strip_tags()も必須ですね。
投稿2014/10/24 02:30
総合スコア36
あなたの回答
tips
プレビュー
バッドをするには、ログインかつ
こちらの条件を満たす必要があります。