【转】危险字符过滤的类

最新推荐文章于 2021-10-26 14:48:23 发布
最新推荐文章于 2021-10-26 14:48:23 发布
阅读量199 收藏
点赞数 1
文章标签： string attributes object regex 正则表达式 iframe
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/xymclone/article/details/6063688
版权 

using System;
using System.IO;
using System.Text;
using System.Text.RegularExpressions;
using System.Runtime.Remoting;
using System.Runtime.Remoting.Proxies;
using System.Runtime.Remoting.Messaging;
using System.Reflection;
namespace FilterRealProxy
{
/**//**//**//// <summary>
///  FilterRealProxy类：一个真实代理, 拦截它所代理对象中方法的返回值，并对需要过滤的返回值进行过滤。
/// </summary>
 public class FilterRealProxy:RealProxy
{
private MarshalByRefObject target;
public FilterRealProxy(MarshalByRefObject target):base(target.GetType())
{
this.target=target;
}
public override IMessage Invoke(IMessage msg)
{
IMethodCallMessage callMsg=msg as IMethodCallMessage;
IMethodReturnMessage returnMsg = RemotingServices.ExecuteMessage(target,callMsg);
//检查返回值是否为String,如果不是String,就没必要进行过滤
   if(this.IsMatchType(returnMsg.ReturnValue))
{
string returnValue=this.Filter(returnMsg.ReturnValue.ToString(),returnMsg.MethodName);
return new ReturnMessage(returnValue,null,0,null,callMsg);
}
return returnMsg;
　　　　 }
protected string Filter(string ReturnValue,string MethodName)
{
MethodInfo methodInfo=target.GetType().GetMethod(MethodName);
object[] attributes=methodInfo.GetCustomAttributes(typeof(StringFilter),true);
foreach (object attrib in attributes)
{
return FilterHandler.Process(((StringFilter)attrib).FilterType,ReturnValue);
}
return ReturnValue;
}
protected bool IsMatchType(object obj)
{
return obj is System.String;
}
}
/**//**//**////<summary>
///  StringFilter类：自定义属性类, 定义目标元素的过滤类型
///</summary>
 public class StringFilter:Attribute
{
protected FilterType _filterType;
public StringFilter(FilterType filterType)
{
this._filterType=filterType;
}
public FilterType FilterType
{
get
{
return _filterType;
}
}
}
/**//**//**//// <summary>
/// 枚举类：用于指定过滤类型，例如：对script过滤还是对html进行过滤？
/// </summary>
 [Flags()]
public enum FilterType
{
Script = 1,
Html =2,
Object=3,
AHrefScript=4,
Iframe=5,
Frameset=6,
Src=7,
BadWords=8,
//Include=9,
  All=16
}
/**//**//**////<summary>
/// 过滤处理类：根据过滤类型，调用相应的过滤处理方法。
///</summary>
public class FilterHandler
{
private FilterHandler()
{}
public static string Process(FilterType filterType,string filterContent)
{switch(filterType)
{
case FilterType.Script:
filterContent=FilterScript(filterContent);
break;
case FilterType.Html:
filterContent=FilterHtml(filterContent);
break;
case FilterType.Object:
filterContent=FilterObject(filterContent);
break;
case FilterType.AHrefScript:
filterContent=FilterAHrefScript(filterContent);
break;
case FilterType.Iframe:
filterContent=FilterIframe(filterContent);
break;
case FilterType.Frameset:
filterContent=FilterFrameset(filterContent);
break;
case FilterType.Src:
filterContent=FilterSrc(filterContent);
break;
//case FilterType.Include:
// filterContent=FilterInclude(filterContent);
// break;
    case FilterType.BadWords:
filterContent=FilterBadWords(filterContent);
break;
case FilterType.All:
filterContent=FilterAll(filterContent);
break;
default:
//do nothing
     break;
}
return filterContent;
}


 public static string FilterScript(string content)
{
string commentPattern = @"(?'comment'<!--.*?--[ /n/r]*>)" ;
string embeddedScriptComments = @"(///*.*?/*//|.*?[/n/r])" ;
string scriptPattern = String.Format(@"(?'script'<[ /n/r]*script[^>]*>(.*?{0}?)*<[ /n/r]*/script[^>]*>)", embeddedScriptComments ) ;
// 包含注释和Script语句
   string pattern = String.Format(@"(?s)({0}|{1})", commentPattern, scriptPattern) ;
return StripScriptAttributesFromTags(Regex.Replace(content,pattern,string.Empty,RegexOptions.IgnoreCase));
}
private static string StripScriptAttributesFromTags( string content )
{
string eventAttribs = @"on(blur|c(hange|lick)|dblclick|focus|keypress|(key|mouse)(down|up)|(un)?load
|mouse(move|o(ut|ver))|reset|s(elect|ubmit))" ;
string pattern = String.Format(@"(?inx)
/<(/w+)/s+
(
(?'attribute'
(?'attributeName'{0})/s*=/s*
(?'delim'['""]?)
(?'attributeValue'[^'"">]+)
(/3)
)
|
(?'attribute'
(?'attributeName'href)/s*=/s*
(?'delim'['""]?)
(?'attributeValue'javascript[^'"">]+)
(/3)
)
|
[^>]
)*
/>", eventAttribs ) ;
Regex re = new Regex( pattern ) ;
// 使用MatchEvaluator的委托
   return re.Replace( content, new MatchEvaluator( StripAttributesHandler ) ) ;
}
private static string StripAttributesHandler( Match m )
{
if( m.Groups["attribute"].Success  )
{
return m.Value.Replace( m.Groups["attribute"].Value, "") ;
}else{return m.Value ;
}}
public static string FilterAHrefScript(string content)
{
string newstr=FilterScript(content);
string regexstr=@" href[ ^=]*= *[/s/S]*script *:";
return Regex.Replace(newstr,regexstr,string.Empty,RegexOptions.IgnoreCase);
}
public static string FilterSrc(string content)
{
string newstr=FilterScript(content);
string regexstr=@" src *= *['""]?[^/.]+/.(js|vbs|asp|aspx|php|jsp)['""]";
return Regex.Replace(newstr,regexstr,@"",RegexOptions.IgnoreCase);
}
/**//**//**//*
public static string FilterInclude(string content)
{
string newstr=FilterScript(content);
string regexstr=@"<[/s/S]*include *(file|virtual) *= *[/s/S]*/.(js|vbs|asp|aspx|php|jsp)[^>]*>";
return Regex.Replace(newstr,regexstr,string.Empty,RegexOptions.IgnoreCase);
}
*/
public static string FilterHtml(string content)
{
string newstr=FilterScript(content);
string regexstr=@"<[^>]*>";
return Regex.Replace(newstr,regexstr,string.Empty,RegexOptions.IgnoreCase);
}
public static string FilterObject(string content)
{
string regexstr=@"(?i)<Object([^>])*>(/w|/W)*</Object([^>])*>";
return Regex.Replace(content,regexstr,string.Empty,RegexOptions.IgnoreCase);
}
public static string FilterIframe(string content)
{
string regexstr=@"(?i)<Iframe([^>])*>(/w|/W)*</Iframe([^>])*>";
return Regex.Replace(content,regexstr,string.Empty,RegexOptions.IgnoreCase);
}
public static string FilterFrameset(string content)
{
string regexstr=@"(?i)<Frameset([^>])*>(/w|/W)*</Frameset([^>])*>";
return Regex.Replace(content,regexstr,string.Empty,RegexOptions.IgnoreCase);
}

 //移除非法或不友好字符
  private static string FilterBadWords(string chkStr)
{
//这里的非法和不友好字符由你任意加，用“|”分隔，支持正则表达式,由于本Blog禁止贴非法和不友好字符，所以这里无法加上。
string BadWords=@"";
if (chkStr == "")
{
return "";
}
string[] bwords = BadWords.Split('#');
int i,j;
string str;
StringBuilder sb = new StringBuilder();
for(i = 0; i< bwords.Length; i++)
{
str=bwords[i].ToString().Trim();
string regStr,toStr;
regStr=str;
Regex r=new Regex(regStr,RegexOptions.IgnoreCase | RegexOptions.Singleline| RegexOptions.Multiline);
Match m=r.Match(chkStr);
if(m.Success)
{
j=m.Value.Length;
sb.Insert(0,"*",j);
toStr=sb.ToString();
chkStr=Regex.Replace(chkStr,regStr,toStr,RegexOptions.IgnoreCase | RegexOptions.Singleline| RegexOptions.Multiline);
}
sb.Remove(0,sb.Length);
}
return chkStr;
}
public static string FilterAll(string content)
{
content = FilterHtml(content);
content = FilterScript(content);
content = FilterAHrefScript(content);
content = FilterObject(content);
content = FilterIframe(content);
content = FilterFrameset(content);
content = FilterSrc(content);
content = FilterBadWords(content);
//content = FilterInclude(content);
   return content;
}}}

 

using System;
using System.IO;
using System.Text;
using System.Text.RegularExpressions;
using System.Runtime.Remoting;
using System.Runtime.Remoting.Proxies;
using System.Runtime.Remoting.Messaging;
using System.Reflection;
namespace FilterRealProxy
{
/**//**//**//// <summary>
///  FilterRealProxy类：一个真实代理, 拦截它所代理对象中方法的返回值，并对需要过滤的返回值进行过滤。
/// </summary>
 public class FilterRealProxy:RealProxy
{
private MarshalByRefObject target;
public FilterRealProxy(MarshalByRefObject target):base(target.GetType())
{
this.target=target;
}
public override IMessage Invoke(IMessage msg)
{
IMethodCallMessage callMsg=msg as IMethodCallMessage;
IMethodReturnMessage returnMsg = RemotingServices.ExecuteMessage(target,callMsg);
//检查返回值是否为String,如果不是String,就没必要进行过滤
   if(this.IsMatchType(returnMsg.ReturnValue))
{
string returnValue=this.Filter(returnMsg.ReturnValue.ToString(),returnMsg.MethodName);
return new ReturnMessage(returnValue,null,0,null,callMsg);
}
return returnMsg;
　　　　 }
protected string Filter(string ReturnValue,string MethodName)
{
MethodInfo methodInfo=target.GetType().GetMethod(MethodName);
object[] attributes=methodInfo.GetCustomAttributes(typeof(StringFilter),true);
foreach (object attrib in attributes)
{
return FilterHandler.Process(((StringFilter)attrib).FilterType,ReturnValue);
}
return ReturnValue;
}
protected bool IsMatchType(object obj)
{
return obj is System.String;
}
}
/**//**//**////<summary>
///  StringFilter类：自定义属性类, 定义目标元素的过滤类型
///</summary>
 public class StringFilter:Attribute
{
protected FilterType _filterType;
public StringFilter(FilterType filterType)
{
this._filterType=filterType;
}
public FilterType FilterType
{
get
{
return _filterType;
}
}
}
/**//**//**//// <summary>
/// 枚举类：用于指定过滤类型，例如：对script过滤还是对html进行过滤？
/// </summary>
 [Flags()]
public enum FilterType
{
Script = 1,
Html =2,
Object=3,
AHrefScript=4,
Iframe=5,
Frameset=6,
Src=7,
BadWords=8,
//Include=9,
  All=16
}
/**//**//**////<summary>
/// 过滤处理类：根据过滤类型，调用相应的过滤处理方法。
///</summary>

public class FilterHandler
{
private FilterHandler()
{
}
public static string Process(FilterType filterType,string filterContent)
{
switch(filterType)
{
case FilterType.Script:
filterContent=FilterScript(filterContent);
break;
case FilterType.Html:
filterContent=FilterHtml(filterContent);
break;
case FilterType.Object:
filterContent=FilterObject(filterContent);
break;
case FilterType.AHrefScript:
filterContent=FilterAHrefScript(filterContent);
break;
case FilterType.Iframe:
filterContent=FilterIframe(filterContent);
break;
case FilterType.Frameset:
filterContent=FilterFrameset(filterContent);
break;
case FilterType.Src:
filterContent=FilterSrc(filterContent);
break;
//case FilterType.Include:
// filterContent=FilterInclude(filterContent);
// break;
    case FilterType.BadWords:
filterContent=FilterBadWords(filterContent);
break;
case FilterType.All:
filterContent=FilterAll(filterContent);
break;
default:
//do nothing
     break;
}
return filterContent;
}


 public static string FilterScript(string content)
{
string commentPattern = @"(?'comment'<!--.*?--[ /n/r]*>)" ;
string embeddedScriptComments = @"(///*.*?/*//|.*?[/n/r])" ;
string scriptPattern = String.Format(@"(?'script'<[ /n/r]*script[^>]*>(.*?{0}?)*<[ /n/r]*/script[^>]*>)", embeddedScriptComments ) ;
// 包含注释和Script语句
   string pattern = String.Format(@"(?s)({0}|{1})", commentPattern, scriptPattern) ;
return StripScriptAttributesFromTags(Regex.Replace(content,pattern,string.Empty,RegexOptions.IgnoreCase));
}
private static string StripScriptAttributesFromTags( string content )
{
string eventAttribs = @"on(blur|c(hange|lick)|dblclick|focus|keypress|(key|mouse)(down|up)|(un)?load
|mouse(move|o(ut|ver))|reset|s(elect|ubmit))" ;
string pattern = String.Format(@"(?inx)
/<(/w+)/s+
(
(?'attribute'
(?'attributeName'{0})/s*=/s*
(?'delim'['""]?)
(?'attributeValue'[^'"">]+)
(/3)
)
|
(?'attribute'
(?'attributeName'href)/s*=/s*
(?'delim'['""]?)
(?'attributeValue'javascript[^'"">]+)
(/3)
)
|
[^>]
)*
/>", eventAttribs ) ;
Regex re = new Regex( pattern ) ;
// 使用MatchEvaluator的委托
   return re.Replace( content, new MatchEvaluator( StripAttributesHandler ) ) ;
}
private static string StripAttributesHandler( Match m )
{
if( m.Groups["attribute"].Success  )
{
return m.Value.Replace( m.Groups["attribute"].Value, "") ;
}
else
{
return m.Value ;
}
}
public static string FilterAHrefScript(string content)
{
string newstr=FilterScript(content);
string regexstr=@" href[ ^=]*= *[/s/S]*script *:";
return Regex.Replace(newstr,regexstr,string.Empty,RegexOptions.IgnoreCase);
}
public static string FilterSrc(string content)
{
string newstr=FilterScript(content);
string regexstr=@" src *= *['""]?[^/.]+/.(js|vbs|asp|aspx|php|jsp)['""]";
return Regex.Replace(newstr,regexstr,@"",RegexOptions.IgnoreCase);
}
/**//**//**//*
public static string FilterInclude(string content)
{
string newstr=FilterScript(content);
string regexstr=@"<[/s/S]*include *(file|virtual) *= *[/s/S]*/.(js|vbs|asp|aspx|php|jsp)[^>]*>";
return Regex.Replace(newstr,regexstr,string.Empty,RegexOptions.IgnoreCase);
}
*/
public static string FilterHtml(string content)
{
string newstr=FilterScript(content);
string regexstr=@"<[^>]*>";
return Regex.Replace(newstr,regexstr,string.Empty,RegexOptions.IgnoreCase);
}
public static string FilterObject(string content)
{
string regexstr=@"(?i)<Object([^>])*>(/w|/W)*</Object([^>])*>";
return Regex.Replace(content,regexstr,string.Empty,RegexOptions.IgnoreCase);
}
public static string FilterIframe(string content)
{
string regexstr=@"(?i)<Iframe([^>])*>(/w|/W)*</Iframe([^>])*>";
return Regex.Replace(content,regexstr,string.Empty,RegexOptions.IgnoreCase);
}
public static string FilterFrameset(string content)
{
string regexstr=@"(?i)<Frameset([^>])*>(/w|/W)*</Frameset([^>])*>";
return Regex.Replace(content,regexstr,string.Empty,RegexOptions.IgnoreCase);
}

 //移除非法或不友好字符
  private static string FilterBadWords(string chkStr)
{
//这里的非法和不友好字符由你任意加，用“|”分隔，支持正则表达式,由于本Blog禁止贴非法和不友好字符，所以这里无法加上。
string BadWords=@"";
if (chkStr == "")
{
return "";
}
string[] bwords = BadWords.Split('#');
int i,j;
string str;
StringBuilder sb = new StringBuilder();
for(i = 0; i< bwords.Length; i++)
{
str=bwords[i].ToString().Trim();
string regStr,toStr;
regStr=str;
Regex r=new Regex(regStr,RegexOptions.IgnoreCase | RegexOptions.Singleline| RegexOptions.Multiline);
Match m=r.Match(chkStr);
if(m.Success)
{
j=m.Value.Length;
sb.Insert(0,"*",j);
toStr=sb.ToString();
chkStr=Regex.Replace(chkStr,regStr,toStr,RegexOptions.IgnoreCase | RegexOptions.Singleline| RegexOptions.Multiline);
}
sb.Remove(0,sb.Length);
}
return chkStr;
}
public static string FilterAll(string content)
{
content = FilterHtml(content);
content = FilterScript(content);
content = FilterAHrefScript(content);
content = FilterObject(content);
content = FilterIframe(content);
content = FilterFrameset(content);
content = FilterSrc(content);
content = FilterBadWords(content);
//content = FilterInclude(content);
   return content;
}
}
}

 


xymclone
关注
XSS危险字符以及其处理方法
01-12
本文档包含了XSS危险字符的基本介绍，以及与其对应的在java以及JSP中的处理方法
C#检测是否有危险字符的SQL字符串过滤方法
09-04
C#作为.NET框架的主要编程语言，提供了一些方法来检查和过滤可能含有危险字符的SQL字符串，以避免此类攻击的发生。 首先，我们来看一个C#中实现的SQL字符串过滤函数`ProcessSqlStr`。这个函数通过定义一系列的危险...
一个字符串过滤类
Greed泡泡的专栏
10-26 717
using System;using System.IO;using System.Text;using System.Text.RegularExpressions;using System.Runtime.Remoting;using System.Runtime.Remoting.Proxies;using System.Runtime.Remoting.Messaging;using Sy
危险字符过滤的类
weixin_33860737的博客
03-21 114
using System;using System.IO;using System.Text;using System.Text.RegularExpressions;using System.Runtime.Remoting;using System.Runtime.Remoting.Proxies;using System.Runtime.Remoting.Messaging;using Sy...
Javav中危险字符过滤工具类
zhunode的探索
01-29 1197
 在进行网站开发时，为了避免网站遭到SQL语句的注入式攻击，应该考虑到过滤字符串中的危险字符。 在该实例中，可以过滤"&amp;;'&lt;&gt;--/ %=#"等字符时，在处理页面中会把这些字符过滤掉 /** 该示例主要利用String的replaceAll方法 public String replaceAll(String regex,String replacement)...
java 过滤危险字符,url传递中文字符，特殊危险字符的解决方案（仅供参考）urldecode、base64_encode...
weixin_32171133的博客
03-14 987
很多时候，我们需要在url中传递中文字符或是其它的html等特殊字符，似乎总会有各种乱，不同的浏览器对他们的编码又不一样，对于中文，一般的做法是：把这些文本字符串传给url之前，先进行urlencode($text)一下；但是对于一些很“危险”的字符，比如说html字符，甚至是SQL注入相关的字符，如果很明显的传给系统，出于安全考虑，系统一般都会把它们过滤掉的。现在，我们需要这些危险字符，该这么办...
javaweb敏感字符过滤
weixin_42017951的博客
03-27 995
注意： 1、过滤器慎用日志、中文乱码、敏感字符 2、web对过滤器、监听和servlet的调用顺序 先用监听-----过滤器—再调用servlet 敏感字符过滤的两种方法: 1、把敏感字符放入到一个文件，从文件中读取这些字符，与请求对象中字符进行比较，如果包含有铭感字符，一般用某种符号替换 2、把敏感字符放入到数据库中，从数据库的表中读取这些字符。 过滤器的作用：拦截request对象，将请求传递...
过滤输入字符串中的危险字符
you can you up up up的博客
03-04 2721
在文本框中输入&amp;;&lt;&gt;/%=#等字符时，在处理页中会把这些字符过滤掉然后显示出过滤后的字符串 应用String类提供大的replaceAll()方法，过滤字符串中指定的子字符串 public String replaceAll(String regex,String replacement) regex：表示需要替换的字符串 replacement：表示替换后的字符串 创...
java 正则过滤 危险字符串
MeGoodtoo的专栏
10-26 672
第一步:取消自动validation validation有一堆，什么xml、jsp、jsf、js等等，我们没有必要全部都去自动校验一下，只是需要的时候才会手工校验一下！ 取消方法： windows–>perferences–>MyEclipse Enterprise Workbench–>Validation 除开Manual下面的复选框全部选中之外，其他全部不选。
C#实现过滤sql特殊字符的方法集合
09-03
在C#中，防止SQL注入攻击的一个重要方法是过滤SQL特殊字符。SQL注入是一种常见的网络安全威胁，通过在用户输入的数据中插入恶意SQL语句，攻击者可以操纵数据库，获取、修改或删除敏感信息。以下是一些C#中过滤SQL...
php表单敏感字符过滤代码类
05-02
"php表单敏感字符过滤代码类"提供了一种解决方案，旨在防止恶意用户利用敏感字符注入攻击，如SQL注入或跨站脚本（XSS）攻击。下面将详细解释这个代码类涉及的知识点及其重要性。 首先，我们要理解表单数据的收集。...
xss特殊字符拦截与过滤
最新发布
04-01
在Java代码中，我们看到了一个关键类XssStrUtils，它提供了一个静态方法replaceHtmlCode用于处理字符串中的危险代码。在该方法中，首先对传入的content参数进行非空检查。接着，定义了一系列的事件关键词数组...
java 过滤非法字符_java，过滤去掉文件名非法字符
weixin_35953155的博客
02-12 877
为了合理性,过滤文件名非法字符是必须的,果断地要干掉.....有时候数据库读出来的名字无法再本地创建文件，需要去掉非法字符。windows现在已知的文件名非法字符有 \ / : * ? " < > |private static Pattern FilePattern = Pattern.compile("[\\\\/:*?\"<>|]");public static St...
过滤特殊危险字符
hjjhce的博客
08-18 2449
一般，对于传进来的字符，php教程可以用addslashes函数处理一遍（要get_magic_quotes_gpc()为假才处理，不然就重复转义了！），这样就能达到一定程度的安全要求 比如这样 代码如下 复制代码 if (!get_magic_quotes_gpc()) {         add_slashes($_GET);         add_slashes($
PHP操作MySQL数据库类：安全过滤与常见操作
- 在执行SQL之前，类可能会对输入的SQL语句进行预处理，以过滤掉危险字符和关键字。 - `allowed_htmltags`常量定义了允许的HTML标签，可能是为了防止XSS攻击，但具体实现可能需要结合其他函数来过滤和转义用户输入...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值