новые сообщения
ответы на мои сообщения
избранное
скрытые темы
случайный топик
открыть всё в новых вкладках
Форум → Программирование → PHP для идиотов → Боремся с XSS
Страницы: ← Следующая страница →
Сообщения:
11960
Репутация:
N
Группа:
в ухо
#(onclick|onmouseover|onmouseout|onmousedown|onmouseup|onselect|onfocus|onblur|onload|onkeydown|onkeyup|ondblclick|onunload|onmouseup|onsubmit)=[\"|\'](.+?)[\"|\']#is[/quote]
ещё собираюсь чикать <a href="javascript:…">
что нужно гасить ещё?
p.s. если разрешены картинки, это прокатит <img src="http://hacker.ru/hacker.js" /> ?
Сообщения:
2945
Репутация:
N
Группа:
в ухо
30 июня 2008 г. 17:49, спустя 58 минут 34 секунды
Сообщения:
11960
Репутация:
N
Группа:
в ухо
30 июня 2008 г. 17:53, спустя 3 минуты 24 секунды
Сообщения:
446
Репутация:
N
Группа:
Адекваты
30 июня 2008 г. 18:13, спустя 20 минут 26 секунд
Сообщения:
11960
Репутация:
N
Группа:
в ухо
30 июня 2008 г. 18:27, спустя 13 минут 31 секунду
cyka <img src="javascript:alert(1);" />
<a href="javascript:alert('cyka');">go cyka</a>
30 июня 2008 г. 19:24, спустя 36 минут 59 секунд
вобщем, я так понимаю, надо гасить все src|href="javascript:…"
в опере нормуль всё выдаеться =))
Сообщения:
11960
Репутация:
N
Группа:
в ухо
2 июля 2008 г. 13:20, спустя 1 день 17 часов 55 минут
Сообщения:
5305
Репутация:
N
Группа:
в ухо
2 июля 2008 г. 14:31, спустя 1 час 11 минут 27 секунд
Сообщения:
26
Репутация:
N
Группа:
Кто попало
14 июля 2008 г. 16:15, спустя 12 дней 1 час 43 минуты
function html($str)
{
$str = htmlspecialchars($str);
//Пробелы в заменяемых словах из-за того что форум их преобразует в другие коды
// При реальной работе пробелы, естественно, не нужны
$str = str_replace('`','& acute;',$str);
$str = str_replace("'",'& # 039;',$str);
$str = str_replace("%",'& # 037;',$str);
return trim($str);
}
14 июля 2008 г. 16:35, спустя 20 минут 16 секунд
Сообщения:
26
Репутация:
N
Группа:
Кто попало
14 июля 2008 г. 17:01, спустя 26 минут 8 секунд
$text = str_replace('<i>','<i>',$text);
14 июля 2008 г. 17:08, спустя 7 минут 4 секунды
Сообщения:
11960
Репутация:
N
Группа:
в ухо
14 июля 2008 г. 17:09, спустя 22 секунды
что за ерунда?
Не сервере текст сначала прогонять через htmlspecialchars а потом str_replace`ом возрождать разрешённые теги, например так:$text = str_replace('<i>','<i>',$text);
например при использовании протокола не http:// а data:.спс, буду смотреть
Обрезать всё опасное - неверный путь.
Сообщения:
26
Репутация:
N
Группа:
Кто попало
14 июля 2008 г. 18:30, спустя 1 час 21 минуту 45 секунд
Kuzya, вы не в теме
WYSIWYG дает не фильтрацию текста а удобное его оформление тем не мение я могу туда пихнуть все что хочу
вопрос стоит более интересно нужно запрещать все что явно не разрешено или разрешать все что явно не запрещено. я бы резал все что не разрешил.
мне очень припала в душу ситуёвина с ipb когда у них в bb кодах находили уязвимости изза слишком большой дозволености.
напомню там теги с параметрами были которые можно было вставлять в текст как попало
я ж говорю, отрезаю все лишние тэги с помощью strip_tags, оставляя лишь те, которые только к форматированию текста относятся + есть те, которые необходимо фильтровать, это: <a>, <img> и всё
ссылки и картинки
Страницы: ← Следующая страница →
Пожалуйста, авторизуйтесь, чтобы написать комментарий!