Benutzereingabefilter - muss ich HTML filtern?

Question

Hinweis: Ich kümmere mich um SQL-Injection und output Ausgabe anderswo - diese Frage betrifft nur Eingabe-Filterung, danke.

Ich bin gerade dabei, meine Benutzereingabefilterfunktionen zu refaktorieren. Vor dem Passieren der GET/POST-Parameter auf einen typspezifischen Filter mit filter_var() ich folgendes:

• Kontrolle der Parameter Codierung mit mb_detect_encoding()
• konvertieren auf UTF-8 mit iconv() (mit // IGNORE), wenn es nicht ASCII oder UTF-8
• sauberen weißen Räume mit a function found on GnuCitizen.org
• das Ergebnis durch strip_tags() passieren - keine Tags überhaupt erlaubt, Abschriften nur

Jetzt die Frage: macht es immer noch Sinn, den Parameter an einen Filter wie htmLawed oder HTML Purifier zu übergeben, oder kann ich den Eingang als sicher betrachten? Es scheint mir, dass diese beiden sich hauptsächlich auf die Granularität der erlaubten HTML-Elemente und -Attribute (die ich nicht interessiert, da ich alles entferne) unterscheiden, aber htmLawed-Dokumente haben einen Abschnitt über 'dangerous characters', der darauf hindeutet, dass es einen Grund gibt um es zu benutzen. In diesem Fall, was wäre eine vernünftige Konfiguration dafür?

Answer 1

Es gibt viele verschiedene Ansätze, um XSS, die sicher sind. Der einzige Grund zu wissen, ob Ihr Ansatz Wasser hält, ist die Ausbeutung zu testen. Ich empfehle die Verwendung eines Free XSS vulnerability Scanner * oder der Open Source wapiti.

Um ehrlich zu sein, werde ich nie strip_tags() benutzen, weil Sie nicht immer HTML-Tags benötigen, um JavaScript auszuführen! Ich mag htmlspecialchars($var,ENT_QUOTES);.

Zum Beispiel diese anfällig für XSS ist:

print('<A HREF="http://www.xssed.com/'.strip_tags($_REQUEST[xss]).'">link</a>'); 

Sie nicht brauchen <> Javascript in diesem Fall ausgeführt werden, da Sie Onmouseover verwenden können, ist hier ein Beispiel Angriff:

$_REQUEST[xss]='" onMouseOver="alert(/xss/)"'; 

Die ENT_QUOTES kümmert sich um die Anführungszeichen, die diese XSS-Schwachstelle patchen.

* Ich bin mit dieser Website/Service angegliedert.

Answer 2

ich denke, was Sie tun, ist sicher, zumindest aus meiner Sicht kein HTML-Code sollte durch den Filter erhalten