PHP中怎样避免SQL注入漏洞和XSS跨站脚本攻击漏洞

漏洞危害: 黑客利用精心组织的SQL语句，通过Web表单注入的Web应用中，从而获取后台DB的访问与存取权限。获取相应的权限之后，可以对网页和数据库进行进一步的篡改、挂马和跳板攻击行为。

防止SQL注入代码：

主要是利用magic_quotes_gpc指令或它的搭挡addslashes()函数；

如果要自己拼SQL语句，一定要自己再过滤一下【addslashes】，也不是直接就能过滤，还要考虑PHP服务器有没有开启自动过滤的功能，如果服务器已经开启自动过滤的功能我们就不能再过滤，只有没有开启时才需要手动过滤：

<?php
//php防注入和XSS攻击通用过滤
$_GET     && SafeFilter($_GET);
$_POST    && SafeFilter($_POST);
$_COOKIE  && SafeFilter($_COOKIE);
  
function SafeFilter (&$arr) 
{
   $ra=Array('/([\x00-\x08,\x0b-\x0c,\x0e-\x19])/','/script/','/javascript/','/vbscript/','/expression/','/applet/'
   ,'/meta/','/xml/','/blink/','/link/','/style/','/embed/','/object/','/frame/','/layer/','/title/','/bgsound/'
   ,'/base/','/onload/','/onunload/','/onchange/','/onsubmit/','/onreset/','/onselect/','/onblur/','/onfocus/',
   '/onabort/','/onkeydown/','/onkeypress/','/onkeyup/','/onclick/','/ondblclick/','/onmousedown/','/onmousemove/'
   ,'/onmouseout/','/onmouseover/','/onmouseup/','/onunload/');
     
   if (is_array($arr))
   {
     foreach ($arr as $key => $value) 
     {
        if (!is_array($value))
        {
          if (!get_magic_quotes_gpc())  //不对magic_quotes_gpc转义过的字符使用addslashes(),避免双重转义。
          {
             $value  = addslashes($value); //给单引号（'）、双引号（"）、反斜线（\）与 NUL（NULL 字符）
             加上反斜线转义
          }
          $value       = preg_replace($ra,'',$value);     //删除非打印字符，粗暴式过滤xss可疑字符串
          $arr[$key]     = htmlentities(strip_tags($value)); //去除 HTML 和 PHP 标记并转换为 HTML 实体
        }
        else
        {
          SafeFilter($arr[$key]);
        }
     }
   }
}
?>

防止XSS跨站攻击代码：

XSS，全称为Cross Site Script，跨站脚本攻击，是WEB程序中一种常见的漏洞。其主要的攻击手段是在在利用网站上的可由用户输入信息的地方，恶意注入含有攻击性的脚本，达到攻击网站或者窃取用户cookied等隐私信息的目的。

XSS漏洞主要分为两种类型，一种是Stored XSS， 另一种是反射型 XSS。

第一种举个简单的例子就是BBS网站，黑客可以利用留言的功能，发表以下内容:

<script type="text/javascript"> alert("surprise") </script>

　　对系统而言，它认为这和其他的留言一样都只是字符串。但是当有用户访问到这个页面时，浏览器会把这段留言当成html内容来解析。因此就执行了其中的js脚本。

而反射型 XSS则是利用点击链接或是提交一些内容来达到攻击的目的。

比如我有以下一个页面：

<form  name="formsearch" method="get">
        <div class="form">
           <input name="q" type="text" class="search-keyword" id="search-keyword"  />
          <button type="submit" class="search-submit blue-button">搜索</button>
        </div>
        </form>

　　当用户在input框中输入:    "<script type="text/javascript"> alert(“surperise”) " 时。他也向浏览器插入了自己的JS脚本。

　　当表单被提交时，输入的字符串被作为参数放在了URL中，传到下一个页面。

　　当下一个页面需要显示这些内容，字符串中包含的攻击脚本也就被浏览器解释了出来。

　　

　　当然这段脚本只能在自己的浏览器执行，可能没有什么攻击性，但是黑客们会想尽办法伪装页面达到攻击的目的。

 

　　总之，XSS攻击就是想办法让你的浏览器去执行他的脚本。

主要是利用htmlspecialchars过滤；

//防止xss跨站攻击 数组或字符串都有效
function clean_xss(&$string){
	if(!is_array($string)){
		$string = trim($string);
		$string = strip_tags($string);
		$string = htmlspecialchars($string);
		$string = str_replace (array ('"', "\\", "'", "/", "..", "../", "./", "//" ), '', $string);
		$no = '/%0[0-8bcef]/';
		$string = preg_replace ($no, '', $string);
		$no = '/%1[0-9a-f]/';
		$string = preg_replace ($no, '', $string);
		$no = '/[\x00-\x08\x0B\x0C\x0E-\x1F\x7F]+/S';
		$string = preg_replace ($no, '', $string);
		return True;
	}
 
	$keys = array_keys($string);
	foreach($keys as $key){
		clean_xss($string[$key]);
	}
}

备注(关于XSS)：

1、php防止XSS跨站脚本攻击的方法:是针对非法的HTML代码包括单双引号等，使用htmlspecialchars()函数 。

2、在使用htmlspecialchars()函数的时候注意第二个参数, 直接用htmlspecialchars($string) 的话,第二个参数默认是ENT_COMPAT,函数默认只是转化双引号(“), 不对单引号(‘)做转义.

3、所以,htmlspecialchars函数更多的时候要加上第二个参数, 应该这样用: htmlspecialchars($string,ENT_QUOTES).当然,如果需要不转化引号,用htmlspecialchars($string,ENT_NOQUOTES).