सर्वर-साइड स्क्रिप्टिंग को रोकना, एक्सएसएस

Question

क्या कोई पूर्व-निर्मित स्क्रिप्ट है जिसका उपयोग मैं PHP-MySQL के लिए सर्वर-साइड स्क्रिप्टिंग और जेएस इंजेक्शन को रोकने के लिए कर सकता हूं?

मुझे सामान्य कार्यों जैसे HTMLentities, विशेष वर्ण, स्ट्रिंग प्रतिस्थापन इत्यादि के बारे में पता है, लेकिन क्या कोड या फ़ंक्शन का एक साधारण बिट है जो सब कुछ के लिए एक असफलता है?

कोई भी विचार बहुत अच्छा होगा। बहुत धन्यवाद :)

संपादित करें: कुछ सामान्य जो कुछ भी खतरनाक हो सकता है, यानी। संकेतों से अधिक/कम, अर्ध-कॉलन, शब्द "डीआरओपी" आदि जैसे?

मैं मूल रूप से बस सबकुछ को अल्फान्यूमेरिक को संपीड़ित करना चाहता हूं, मुझे लगता है ...?

Answer 1

HTML स्ट्रीम के लिए जो कुछ भी डेटा नहीं है, उसे कभी भी आउटपुट न करें htmlspecialchars() के माध्यम से पारित किया गया है और आप कर रहे हैं। सरल नियम, पालन करने में आसान, किसी भी XSS जोखिम को पूरी तरह मिटा देता है।

एक प्रोग्रामर के रूप में यह आपके नौकरी करने के लिए नौकरी है, हालांकि।

आप

function h(s) { return htmlspecialchars(s); } 

परिभाषित कर सकते हैं, तो htmlspecialchars() भी PHP फ़ाइल प्रति 100 बार लिखने के लिए लंबा है। दूसरी ओर, htmlentities() का उपयोग करना आवश्यक नहीं है।

---

मुख्य बिंदु यह है: कोड है, और डेटा है। यदि आप दोनों को इंटरमीक्स करते हैं, तो बुरी चीजें होती हैं।

एचटीएमएल के मामले में, कोड तत्व, गुण नाम, संस्थाएं, टिप्पणियां हैं। डेटा बाकी सब कुछ है। डेटा कोड के लिए गलत होने से बचने के लिए से बचें।

URL की स्थिति में, कोड योजना, होस्ट नाम, पथ, क्वेरी स्ट्रिंग (?, &, =, #) की व्यवस्था है। डेटा क्वेरी स्ट्रिंग में सबकुछ है: पैरामीटर नाम और मान। कोड के लिए गलत होने से बचने के लिए से बच जाना चाहिए।

यूआरएल एचटीएमएल में एम्बेडेड होना चाहिए दोगुना कोड और डेटा के समुचित जुदाई सुनिश्चित करने के लिए (यूआरएल-भागने और एचटीएमएल-भागने से) भाग निकले।

आधुनिक ब्राउज़र कुछ उपयोगी में अद्भुत टूटे और गलत मार्कअप को पार्स करने में सक्षम हैं। हालांकि, इस क्षमता पर जोर नहीं दिया जाना चाहिए। तथ्य यह है कि काम करने के लिए कुछ होता है (जैसे <a href> में यूआरएल उचित HTML-escaping लागू किए बिना) इसका मतलब यह नहीं है कि यह करने के लिए यह अच्छा या सही है। एक्सएसएस एक समस्या है जो ए में जड़ें) लोग डेटा/कोड अलगाव (यानी "भागने") से अनजान हैं या जो बेवकूफ हैं और बी) जो लोग डेटा के किस हिस्से से बचने की आवश्यकता नहीं है, उसके बारे में चालाक होने का प्रयास करते हैं।

एक्सएसएस आसानी से बचने के लिए पर्याप्त है यदि आप सुनिश्चित करते हैं कि आप श्रेणियों में नहीं आते हैं) और बी)।

Answer 2

नहीं, ऐसा नहीं है। जोखिम डेटा के साथ आप जो करते हैं उस पर निर्भर करते हैं, आप कुछ भी लिख नहीं सकते हैं जो सब कुछ के लिए डेटा सुरक्षित बनाता है (जब तक कि आप अधिकतर डेटा को त्यागना नहीं चाहते हैं)

Answer 3

अपने संस्करण का उत्तर देने के लिए: <> प्रतीकों को छोड़कर सबकुछ XSS के साथ कुछ लेना देना नहीं है।
और htmlspecialchars() उनके साथ सौदा कर सकते हैं।

पृष्ठ के पाठ में शब्द DROP table में कोई बुराई नहीं है;)

Answer 4

स्वच्छ उपयोगकर्ता डेटा के लिए html_special_chars(); str_replace() उपयोग करें और अन्य funcs असुरक्षित डेटा कटौती करने के लिए।

Answer 5

क्या कोड का एक साधारण कोड या एक ऐसा कार्य है जो सब कुछ के लिए एक असफलता है?

सं

पीएचपी छोड़ने डेटा का प्रतिनिधित्व परिवर्तित किया जाना चाहिए/विशेष रूप से अनुसार जहां यह जा रहा है इनकोडिंग। और इसलिए उस बिंदु पर केवल कनवर्ट/एन्कोड किया जाना चाहिए जहां यह PHP छोड़ देता है।

सी

Answer 6

मैं Google-caja शायद एक समाधान लगता है। मैं जावा वेब एप्लिकेशन के लिए स्वचालित रूप से एक्सएसएस को पहचानने और रोकने के लिए एक दंत विश्लेषक लिखता हूं। लेकिन PHP के लिए नहीं। मुझे लगता है कि वेब डेवलपर के लिए कैजा का उपयोग करना बुरा नहीं है।

Answer 7

आप OWASP का उल्लेख XSS हमलों की अधिक समझ पाने के लिए कर सकते हैं:

https://www.opensource-excellence.com/shop/ose-security-suite.html

:

https://www.owasp.org/index.php/XSS_Filter_Evasion_Cheat_Sheet

js हमलों से बचने के लिए, आपको खुला स्रोत उत्कृष्टता द्वारा प्रदान की इस परियोजना की कोशिश कर सकते

मेरी वेबसाइट पर पहले जेएस हमले थे, और यह टूल हर रोज हमले को रोकने में मदद करता है। मुझे लगता है कि यह आपको समस्या से बचने के लिए लोगों की मदद कर सकता है।

अगर (preg_match ('/ (:: [। "] स्क्रिप्ट \ रों

इसके अलावा, आप सभी js हमलों फिल्टर करने के लिए अपने php स्क्रिप्ट में एक फिल्टर जोड़ सकते हैं, यहाँ एक पैटर्न है कि काम कर सकते हैं है *() | (? \ $ \ $ \ s * (\ s * [\ w "]) | (:/[\ w \ रों] /) | (:।? = \ s */\ w +/\ s *।) | (? :(?: यह | खिड़की | शीर्ष | अभिभावक | फ्रेम | स्वयं | सामग्री) [\ s * [(, "] \ s [\ w \ $]) | (?:, \ s * नया \ s + \ w + \ s * [,;)/ms ', strtolower ($ POST [' VARIABLENAME '])) { filter_variable ($ POST [' VARIABLENAME ']); }