XSS対策としてのAhtmlspecialchars()とhtmlentites()

PHPのネイティブの機能だけではXSS攻撃を防げないという意見を聞きました。
XSS攻撃の例で、htmlspecialchars()やhtmlentites()を突破するようなケースを教えてください。

行動規範の内容に同意します

回答2件

PHPのネイティブの機能だけではXSS攻撃を防げない

というのがどういうことなのかわかりませんが htmlspecialchars だけでは防げない例としてよくあげられるのは次のようなものな気がします。

lang
1<?php
2$url = "javascript:alert('oreore')";
3?>
4<!DOCTYPE html>
5<html lang="ja">
6<head>
7    <meta charset="utf-8">
8    <title></title>
9</head>
10<body>
11    <a href="<?= htmlspecialchars($url, ENT_QUOTES, 'UTF-8') ?>">XXX</a>
12</body>
13</html>

投稿2014/11/27 01:00

ngyuki

総合スコア4516

たとえばUTF-7によるXSS攻撃ですが、以下の例では、JavaScriptのタグを洗浄できていません。

lang
1$str = "+ADw-script+AD4-alert('Dangerous+ACE')+ADsAPA-/script+AD4-";
2header("Content-Type: text/html; charset=UTF-7"); 
3
4// htmlentities()
5echo htmlentities($str,ENT_COMPAT | ENT_HTML401, 'UTF-8') . "\n";
6// htmlspecialchars()
7echo htmlspecialchars($str, ENT_COMPAT | ENT_HTML401, 'UTF-8') . "\n";
8