ThinkPHP2.x防范XSS跨站攻擊的方法
更新時間：2015年09月25日 16:45:09 作者：deeka
這篇文章主要介紹了ThinkPHP2.x防范XSS跨站攻擊的方法,實例分析了ThinkPHP2.x針對XSS跨站攻擊的防范技巧,具有一定參考借鑒價值,需要的朋友可以參考下
本文實例講述了ThinkPHP2.x防范XSS跨站攻擊的方法。分享給大家供大家參考。具體如下：
一直使用ThinkPHP2.x，通過烏云有向提交了ThinkPHP XSS攻擊的bug，抽時間看了一下。
原理是通過URL傳入script標簽，ThinkPHP異常錯誤頁面直接輸出了script。
原理：
http://ask.lenovo.com.cn/index.php?s=1%3Cbody+onload=alert(1)%3E
其中m的值是一個不存在的module，同時是一個完全的script，在異常錯誤頁面中被執(zhí)行實現(xiàn)XSS跨站攻擊。
防范方法：
找到異常錯誤頁面模板ThinkException.tpl.php(2,x),think_exception.tpl(3.x)有兩個地方要修改：
第57行
復制代碼 代碼如下:
echo($_SERVER['PHP_SELF'])
改為
復制代碼 代碼如下:
echo strip_tags($_SERVER['PHP_SELF'])
第62行
復制代碼 代碼如下:
echo $e['message']
改為
復制代碼 代碼如下:
echo strip_tags($e['message'])
另外，ThinkPHP自3.0開始官方已經(jīng)對TP變量GROUP_NAME,MODULE_NAME,ACTION_NAME,__URL__,__SELF__,__APP__,$_SERVER['PHP_SELF']做了安全處理。
PS：安全不是框架的責任，大家在開發(fā)的時候須自己注意。
希望本文所述對大家基于ThinkPHP框架的php程序設計有所幫助。
相關文章
這篇文章主要介紹了THINKPHP5.1 Config的配置與獲取詳解，文中通過示例代碼介紹的非常詳細，對大家的學習或者工作具有一定的參考學習價值，需要的朋友們下面隨著小編來一起學習學習吧2020-06-06
YII Framework學習之request與response用法(基于CHttpRequest響應)
這篇文章主要介紹了YII Framework學習之request與response用法,詳細介紹了CHttpRequest響應request與response的使用技巧,需要的朋友可以參考下2016-03-03
修改yii2.0用戶登錄使用的user表為其它的表實現(xiàn)方法(推薦)
下面小編就為大家?guī)硪黄薷膟ii2.0用戶登錄使用的user表為其它的表實現(xiàn)方法(推薦)。小編覺得挺不錯的，現(xiàn)在就分享給大家，也給大家做個參考。一起跟隨小編過來看看吧2017-08-08
這篇文章主要介紹了destoon安全設置中需要設置可寫權限的目錄及文件,對于安全設置非常重要！需要的朋友可以參考下2014-06-06
這篇文章主要介紹了TP5框架請求響應參數(shù),結合實例形式分析了thinkPHP5請求參數(shù)及相應參數(shù)的獲取方法,需要的朋友可以參考下2019-10-10
布隆過濾器(bloom filter)及php和redis實現(xiàn)布隆過濾器的方法
這篇文章主要介紹了布隆過濾器(bloom filter)介紹以及php和redis實現(xiàn)布隆過濾器實現(xiàn)方法,非常不錯，具有一定的參考借鑒價值，需要的朋友可以參考下2019-12-12
這篇文章主要介紹了Laravel中Kafka的使用詳解，kafka是一個分布式消息隊列，具有高性能、持久化、多副本備份、橫向擴展能力，有對于消息隊列感興趣的同學可以參考下2021-03-03
配置Apache2.2+PHP5+CakePHP1.2+MySQL5運行環(huán)境
因為最近要用PHP做個小東西，新學了PHP。結果學PHP只用了2個小時，配置服務器卻用了兩天，郁悶得想罵人。為了避免以后忘掉，寫個博客留底。2009-04-04
這篇文章主要為大家詳細介紹了php實現(xiàn)購物車產(chǎn)品刪除功能，文中示例代碼介紹的非常詳細，具有一定的參考價值，感興趣的小伙伴們可以參考一下2017-03-03
今天小編就為大家分享一篇laravel http 自定義公共驗證和響應的方法，具有很好的參考價值，希望對大家有所幫助。一起跟隨小編過來看看吧2019-09-09