Codeigniter XSS 防护

Question

过去几天我一直在研究 codeigniter。它看起来很有希望，但存在一些问题。全局XSS防护一点也不安全，烂透了！我一直在玩它，我肯定可以提出这么多“错误的请求”

codeigniter 用户会做什么？就不要管它，然后创建自己的 XSS 保护吗？ codeigniter（或php）是否有任何现有的类可以帮助防止XSS攻击？

有时，当 XSS 保护“起作用”并且代码找到匹配项时，它似乎也剥离了太多。

任何帮助都会很棒！谢谢！

Answer 1

根据我的经验，CI 的 XSS 非常好——我遇到过它确实删除了我想要的东西的情况，如果你没有预料到的话，调试起来可能会很痛苦。我从来没有能够“轻松地”绕过它，也没有读到过任何漏洞利用（而且 CI 社区相当大）。

如果你非常担心，你可以关闭 CI 的 XSS 防护，并使用“更”全面的过滤器，例如 HTML Purifier - - 您可能还想阅读 OWASP 的XSS备忘单，因为清理输入只是XSS防护的一小部分。

Answer 2

我没有打开全局 XSS。一旦全局打开，就无法关闭单次使用实例，例如使用 Tiny MCE 内容编辑器。我实际上已经浏览了 CI 代码，发现重写了 $_POST、$_GET 数据，如果 XSS 全局启用，则数据会被写入 $_POST 中。

解决方案
XSS 全局 = 关闭

$this->input->post('varname',true); //for clean data
$this->input->post('varname',false); //for something you want to clean manually
$varname=filter_var($_POST['varname']); //raw and old school

Answer 3

您可以使用htmlspecialchars($input)来防止来自用户输入和kiddo的xss注入。

Answer 4

我已经像这样覆盖了 RestController 中的 post 函数，以进行 XSS 清理并保存 XSS 发送者尝试攻击的攻击表：

public function post($key = NULL, $default_value="" , $xss_clean = TRUE)
{
    if ($key === NULL)
    {
        return $this->_post_args;
    }
    $val =  $this->input->get_post($key, $xss_clean);
    if(!is_array($val))
        $val =  $this->checkvar($val,'string','','')[1];
    if($val == NULL || $val == "" || !isset($val))
        return $default_value;
    else
        return $val;
}

function checkvar($var,$varmode,$varfilter,$defultvar)
{
    if($var==null||$var==''){
        return [1,$defultvar];
    }else{
        $ttvar=$var;

        $var =strtolower($var);
        $tvar=$var;

        $var= preg_replace('~<script~', '<!--',$var);
        $var= preg_replace('~</script>~', '-->',$var);
        $var= preg_replace('~delete *from~', '',$var);
        $var= preg_replace('~drop *table~', '',$var);
        $var= preg_replace('~insert *into~', '',$var);
        $var= preg_replace('~or *1 *= *1~', '',$var);
        $var= preg_replace('~select *from~', '',$var);

        if($var!=$tvar){
            $query="INSERT INTO attack_tb( attack_ip, attack_text, attack_timestamp) VALUES
                        ( '".get_client_ip()."', '".$ttvar."', now() )";
            $CI = get_instance();
            $CI->load->model('B_db');
            $result=$CI->B_db->run_query($query);
        }else{
            $var=$ttvar;
        }
        $var=filter_var($var, FILTER_SANITIZE_STRING);

        if($varmode=='string')
        {
            if($varfilter==''){
                return [1,$var];
            }else if($varfilter=='email'){
                if(filter_var($var, FILTER_VALIDATE_EMAIL))
                {   return [1,$var];}else{  return [0,$var];}
            }else if($varfilter=='ip'){
                if(filter_var($var, FILTER_VALIDATE_IP))
                {return [1,$var];}else{ return [0,$var];}
            }
        }else if($varmode=='int'){
            if(is_numeric ($var)){
                return [1,$var];
            }else{
                return [0,$var];
            }
        }
    }
}