오프라인으로 전환되는 SO 설명서 베타의 통합 참조로이를 교차 게시합니다.
문제
크로스 사이트 스크립팅은 웹 클라이언트가 의도하지 않은 원격 코드 실행을 의미합니다. 웹 응용 프로그램은 사용자의 입력을 받아 웹 페이지에서 직접 출력하는 경우 XSS에 노출 될 수 있습니다. 입력에 HTML 또는 JavaScript가 포함 된 경우 웹 클라이언트가이 컨텐츠를 렌더링 할 때 원격 코드를 실행할 수 있습니다.
예를 들어, 타사에 JavaScript 파일이 포함 된 경우 :
// http://example.com/runme.js
document.write("I'm running");
그리고 PHP 어플리케이션은 전달 된 문자열을 직접 출력합니다 :
<?php
echo '<div>' . $_GET['input'] . '</div>';
확인되지 않은 GET 매개 변수에 포함 된 <script src="http://example.com/runme.js"></script>경우 PHP 스크립트의 출력은 다음과 같습니다.
<div><script src="http://example.com/runme.js"></script></div>
타사 JavaScript가 실행되고 웹 페이지에 "I running"이 표시됩니다.
해결책
일반적으로 클라이언트의 입력을 신뢰하지 마십시오. 모든 GET, POST 및 쿠키 값은 무엇이든 될 수 있으므로 유효성을 검사해야합니다. 이러한 값을 출력 할 때는 예상치 못한 방식으로 평가되지 않도록 이스케이프 처리하십시오.
가장 간단한 응용 프로그램에서도 데이터를 이동할 수 있으며 모든 소스를 추적하기가 어려울 수 있습니다. 따라서 항상 출력을 이스케이프 하는 것이 가장 좋습니다 .
PHP는 상황에 따라 출력을 피할 수있는 몇 가지 방법을 제공합니다.
필터 기능
PHPs 필터 기능은 PHP 스크립트에 대한 입력 데이터가 될 수 있도록 소독 또는 검증 에 많은 방법 . 클라이언트 입력을 저장하거나 출력 할 때 유용합니다.
HTML 인코딩
htmlspecialchars"HTML 특수 문자"를 HTML 인코딩으로 변환 하므로 표준 HTML로 처리 되지 않습니다 . 이 방법을 사용하여 이전 예제를 수정하려면 다음을 수행하십시오.
<?php
echo '<div>' . htmlspecialchars($_GET['input']) . '</div>';
// or
echo '<div>' . filter_input(INPUT_GET, 'input', FILTER_SANITIZE_SPECIAL_CHARS) . '</div>';
출력 :
<div><script src="http://example.com/runme.js"></script></div>
<div>태그 내부의 모든 것은 브라우저에서 JavaScript 태그로 해석 되지 않고 간단한 텍스트 노드로 해석됩니다. 사용자는 안전하게 다음을 볼 수 있습니다.
<script src="http://example.com/runme.js"></script>
URL 인코딩
동적으로 생성 된 URL을 출력 할 때 PHP는 urlencode유효한 URL을 안전하게 출력 하는 기능을 제공 합니다. 예를 들어, 사용자가 다른 GET 매개 변수의 일부가되는 데이터를 입력 할 수있는 경우 :
<?php
$input = urlencode($_GET['input']);
// or
$input = filter_input(INPUT_GET, 'input', FILTER_SANITIZE_URL);
echo '<a href="http://example.com/page?input="' . $input . '">Link</a>';
악성 입력은 인코딩 된 URL 매개 변수로 변환됩니다.
특수한 외부 라이브러리 또는 OWASP AntiSamy 목록 사용
때로는 HTML 또는 다른 종류의 코드 입력을 보내려고 할 수도 있습니다. 승인 된 단어 목록 (허가 목록)과 승인되지 않은 (블랙리스트) 목록을 유지해야합니다.
OWASP AntiSamy 웹 사이트 에서 사용 가능한 표준 목록을 다운로드 할 수 있습니다 . 각 목록은 특정 종류의 상호 작용 (ebay api, tinyMCE 등)에 적합합니다. 그리고 그것은 오픈 소스입니다.
HTML을 필터링하고 일반적인 경우에 대한 XSS 공격을 방지하고 최소한의 사용은 물론 AntiSamy 목록을 수행하는 라이브러리가 있습니다. 예를 들어 HTML Purifier가 있습니다.