用HTML+PHP写一个留言板来进行XSS测试&学习第三篇(简单的过滤标签功能实现&绕过)

最新推荐文章于 2023-10-08 14:01:14 发布

JackholeLJH

最新推荐文章于 2023-10-08 14:01:14 发布

阅读量2.3k

点赞数 3

分类专栏：技术培训文章标签： XSS php html

本文链接：https://blog.csdn.net/qq_38219257/article/details/69841146

版权

本文介绍了如何使用PHP的filter_var函数添加一个简单的过滤<script>标签的功能，以防止XSS攻击。通过FILTER_CALLBACK参数，自定义了convertscript()函数来定义过滤规则。然而，文章也指出这种过滤方式可通过构造特殊字符序列如<scr<script>ipt>或大小写混合来绕过。作者提到由于非循环检测，仅过滤一次，这为攻击者提供了可能的漏洞，并预告下篇文章将探讨宽字节绕过的环境搭建。

摘要由CSDN通过智能技术生成

这次我们要给前一篇文章写的简易“入库”留言板添加一个功能，实现初级的过滤

留言板代码请看：http://blog.csdn.net/qq_38219257/article/details/69808812

因为是功能示范，暂时就写一个过滤<script>标签的简单方法

这次用到了PHP中的过滤器
filter_var 期中的参数FILTER_CALLBACK可以自定义数组进行过滤，用户可以自己构造函数，定义过滤规则

function convertScript($string) //自己构建一个函数，以字符串作为形参
{
return str_replace("<script>", "", $string);//返回值中进行替换操作，将<script> 替换为空
}                                         //
fwrite($log,filter_var($_POST['user'], FILTER_CALLBACK, array("options"=&g