PHP自定义过滤方法,预防XSS、AJAX跨域攻击
2017-09-09 PHP常用方法 457 WGE
对网站发起XSS攻击、AJAX跨域攻击的方法众多,虽然PHP也有一些内置的过滤函数,例如:mysql_real_escape_string,htmlentities,htmlspecialchars,filter_var,strip_tags。但是对于层出不穷的攻击方式,明显是不够看的了。
现在有很多php开发框架都提供关于防XSS攻击的过滤方法,我也对这些过滤方法进行总结一下,总体来说,还是比内置函数强上不少的。
/**
* XSS攻击、AJAX跨域攻击过滤
* @param String $data 过滤内容
* @return String $data 过滤完成的内容
* https://www.wge68.com
*/
function attackFilter($data){
// 清除 &entity\n;
$data=str_replace(['&','<','>'], ['&','<','>'], $data);
$data=preg_replace('/(*\w+)[\x00-\x20]+;/u','$1;',$data);
$data=preg_replace('/(*[0-9A-F]+);*/iu','$1;',$data);
$data=html_entity_decode($data, ENT_COMPAT,'UTF-8');
// 删除任何以“on”或xmlns开头的属性
$data=preg_replace('#(<[^>]+?[\x00-\x20"\'])(?:on|xmlns)[^>]*+>#iu','$1>',$data);
// 删除javascript和vbscript协议
$data=preg_replace('#([a-z]*)[\x00-\x20]*=[\x00-\x20]*([`\'"]*)[\x00-\x20]*j[\x00-\x20]*a[\x00-\x20]*v[\x00-\x20]*a[\x00-\x20]*s[\x00-\x20]*c[\x00-\x20]*r[\x00-\x20]*i[\x00-\x20]*p[\x00-\x20]*t[\x00-\x20]*:#iu','$1=$2nojavascript...',$data);
$data=preg_replace('#([a-z]*)[\x00-\x20]*=([\'"]*)[\x00-\x20]*v[\x00-\x20]*b[\x00-\x20]*s[\x00-\x20]*c[\x00-\x20]*r[\x00-\x20]*i[\x00-\x20]*p[\x00-\x20]*t[\x00-\x20]*:#iu','$1=$2novbscript...',$data);
$data=preg_replace('#([a-z]*)[\x00-\x20]*=([\'"]*)[\x00-\x20]*-moz-binding[\x00-\x20]*:#u','$1=$2nomozbinding...',$data);
// 仅使用于IE: <span style="width: expression(alert('Ping!'));"></span>
$data=preg_replace('#(<[^>]+?)style[\x00-\x20]*=[\x00-\x20]*[`\'"]*.*?expression[\x00-\x20]*\([^>]*+>#i','$1>',$data);
$data=preg_replace('#(<[^>]+?)style[\x00-\x20]*=[\x00-\x20]*[`\'"]*.*?behaviour[\x00-\x20]*\([^>]*+>#i','$1>',$data);
$data=preg_replace('#(<[^>]+?)style[\x00-\x20]*=[\x00-\x20]*[`\'"]*.*?s[\x00-\x20]*c[\x00-\x20]*r[\x00-\x20]*i[\x00-\x20]*p[\x00-\x20]*t[\x00-\x20]*:*[^>]*+>#iu','$1>',$data);
$data=preg_replace('#</*\w+:\w[^>]*+>#i','',$data);
do{
// 删除真正不需要的标签
$old_data=$data;
$data=preg_replace('#</*(?:applet|b(?:ase|gsound|link)|embed|frame(?:set)?|i(?:frame|layer)|l(?:ayer|ink)|meta|object|s(?:cript|tyle)|title|xml)[^>]*+>#i','',$data);
}while($old_data!==$data);
return $data;
}