ThinkPHP2.x防范XSS跨站攻擊的方法
本文實(shí)例講述了ThinkPHP2.x防范XSS跨站攻擊的方法。分享給大家供大家參考。具體如下：
一直使用ThinkPHP2.x，通過烏云有向提交了ThinkPHP XSS攻擊的bug，抽時(shí)間看了一下。
原理是通過URL傳入script標(biāo)簽，ThinkPHP異常錯(cuò)誤頁面直接輸出了script。
原理：
http://ask.lenovo.com.cn/index.php?s=1%3Cbody+onload=alert(1)%3E
其中m的值是一個(gè)不存在的module，同時(shí)是一個(gè)完全的script，在異常錯(cuò)誤頁面中被執(zhí)行實(shí)現(xiàn)XSS跨站攻擊。
防范方法：
找到異常錯(cuò)誤頁面模板ThinkException.tpl.php(2,x),think_exception.tpl(3.x)有兩個(gè)地方要修改：
第57行
改為
第62行
改為
另外，ThinkPHP自3.0開始官方已經(jīng)對TP變量GROUP_NAME,MODULE_NAME,ACTION_NAME,__URL__,__SELF__,__APP__,$_SERVER['PHP_SELF']做了安全處理。
PS：安全不是框架的責(zé)任，大家在開發(fā)的時(shí)候須自己注意。
希望本文所述對大家基于ThinkPHP框架的php程序設(shè)計(jì)有所幫助。
- PHP和XSS跨站攻擊的防范
- 解析PHP跨站刷票的實(shí)現(xiàn)代碼
- php安全開發(fā) 添加隨機(jī)字符串驗(yàn)證，防止偽造跨站請求
- php跨站攻擊實(shí)例分析
- PHP實(shí)現(xiàn)表單提交數(shù)據(jù)的驗(yàn)證處理功能【防SQL注入和XSS攻擊等】
- 整理php防注入和XSS攻擊通用過濾
- xss防御之php利用httponly防xss攻擊
- php過濾XSS攻擊的函數(shù)
- 細(xì)談php中SQL注入攻擊與XSS攻擊
- PHP中防止SQL注入攻擊和XSS攻擊的兩個(gè)簡單方法
- PHP實(shí)現(xiàn)的防止跨站和xss攻擊代碼【來自阿里云】
相關(guān)文章
這篇文章主要介紹了THINKPHP5.1 Config的配置與獲取詳解，文中通過示例代碼介紹的非常詳細(xì)，對大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價(jià)值，需要的朋友們下面隨著小編來一起學(xué)習(xí)學(xué)習(xí)吧2020-06-06
YII Framework學(xué)習(xí)之request與response用法(基于CHttpRequest響應(yīng))
這篇文章主要介紹了YII Framework學(xué)習(xí)之request與response用法,詳細(xì)介紹了CHttpRequest響應(yīng)request與response的使用技巧,需要的朋友可以參考下2016-03-03
修改yii2.0用戶登錄使用的user表為其它的表實(shí)現(xiàn)方法(推薦)
下面小編就為大家?guī)硪黄薷膟ii2.0用戶登錄使用的user表為其它的表實(shí)現(xiàn)方法(推薦)。小編覺得挺不錯(cuò)的，現(xiàn)在就分享給大家，也給大家做個(gè)參考。一起跟隨小編過來看看吧2017-08-08
destoon安全設(shè)置中需要設(shè)置可寫權(quán)限的目錄及文件
這篇文章主要介紹了destoon安全設(shè)置中需要設(shè)置可寫權(quán)限的目錄及文件,對于安全設(shè)置非常重要！需要的朋友可以參考下2014-06-06
TP5框架請求響應(yīng)參數(shù)實(shí)例分析
這篇文章主要介紹了TP5框架請求響應(yīng)參數(shù),結(jié)合實(shí)例形式分析了thinkPHP5請求參數(shù)及相應(yīng)參數(shù)的獲取方法,需要的朋友可以參考下2019-10-10
布隆過濾器(bloom filter)及php和redis實(shí)現(xiàn)布隆過濾器的方法
這篇文章主要介紹了布隆過濾器(bloom filter)介紹以及php和redis實(shí)現(xiàn)布隆過濾器實(shí)現(xiàn)方法,非常不錯(cuò)，具有一定的參考借鑒價(jià)值，需要的朋友可以參考下2019-12-12
這篇文章主要介紹了Laravel中Kafka的使用詳解，kafka是一個(gè)分布式消息隊(duì)列，具有高性能、持久化、多副本備份、橫向擴(kuò)展能力，有對于消息隊(duì)列感興趣的同學(xué)可以參考下2021-03-03
配置Apache2.2+PHP5+CakePHP1.2+MySQL5運(yùn)行環(huán)境
因?yàn)樽罱肞HP做個(gè)小東西，新學(xué)了PHP。結(jié)果學(xué)PHP只用了2個(gè)小時(shí)，配置服務(wù)器卻用了兩天，郁悶得想罵人。為了避免以后忘掉，寫個(gè)博客留底。2009-04-04
php實(shí)現(xiàn)購物車產(chǎn)品刪除功能（2）
這篇文章主要為大家詳細(xì)介紹了php實(shí)現(xiàn)購物車產(chǎn)品刪除功能，文中示例代碼介紹的非常詳細(xì)，具有一定的參考價(jià)值，感興趣的小伙伴們可以參考一下2017-03-03
laravel http 自定義公共驗(yàn)證和響應(yīng)的方法
今天小編就為大家分享一篇laravel http 自定義公共驗(yàn)證和響應(yīng)的方法，具有很好的參考價(jià)值，希望對大家有所幫助。一起跟隨小編過來看看吧2019-09-09