PHP如何防止XSS攻擊與XSS攻擊原理

XSS又稱CSS，全稱Cross SiteScript(跨站腳本攻擊)， XSS攻擊類似於SQL注入攻擊，是Web程序中常見的漏洞，XSS屬於被動式且用於客戶端的攻擊方式，所以容易被忽略其危害性。其原理是攻擊者向有XSS漏洞的網站中輸入(傳入)惡意的HTML代碼，當用戶瀏覽該網站時，這段HTML代碼會自動執行，從而達到攻擊的目的。如，盜取用戶Cookie信息、破壞頁面結構、重定向到其它網站等。

理論上，只要存在能提供輸入的表單並且沒做安全過濾或過濾不徹底，都有可能存在XSS漏洞。

下面是一些最簡單並且比較常見的惡意字符XSS輸入：

1.XSS 輸入通常包含 JavaScript 腳本，如彈出惡意警告框：<script>alert("XSS");</script>

2.XSS 輸入也可能是 HTML 代碼段，譬如：

除了通過正常途徑輸入XSS攻擊字符外，還可以繞過JavaScript校驗，通過修改請求達到XSS攻擊的目的，如下圖：

了解到XSS攻擊的原理和危害後，其實要預防也不難，下面提供一個簡單的PHP防止XSS攻擊的函數：

<?PHP

function clean_xss(&$string, $low = False)
{
 if (! is_array ( $string ))
 {
 $string = trim ( $string );
 $string = strip_tags ( $string );
 $string = htmlspecialchars ( $string );
 if ($low)
 {
  return True;
 }
 $string = str_replace ( array ('"', "\\", "'", "/", "..", "../", "./", "//" ), '', $string );
 $no = '/%0[0-8bcef]/';
 $string = preg_replace ( $no, '', $string );
 $no = '/%1[0-9a-f]/';
 $string = preg_replace ( $no, '', $string );
 $no = '/[\x00-\x08\x0B\x0C\x0E-\x1F\x7F]+/S';
 $string = preg_replace ( $no, '', $string );
 return True;
 }
 $keys = array_keys ( $string );
 foreach ( $keys as $key )
 {
 clean_xss ( $string [$key] );
 }
}

$str = 'codetc.com<meta http-equiv="refresh" content="0;">';
clean_xss($str); 
echo $str;
?>

PHP中的設置

PHP5.2以上版本已支持HttpOnly參數的設置，同樣也支持全局的HttpOnly的設置，在php.ini中

session.cookie_httponly = 

設置其值為1或者TRUE，來開啟全局的Cookie的HttpOnly屬性，當然也支持在代碼中來開啟：

<?php 
ini_set("session.cookie_httponly", 1);  
// or session_set_cookie_params(0, NULL, NULL, NULL, TRUE);  
?>

Cookie操作函數setcookie函數和setrawcookie函數也專門添加了第7個參數來做為HttpOnly的選項，開啟方法為：

<?php 
setcookie("abc", "test", NULL, NULL, NULL, NULL, TRUE);  
setrawcookie("abc", "test", NULL, NULL, NULL, NULL, TRUE); 
?>

以上是文章全部內容，有需要學習與經驗交流的友友或者進入微信交流群學習與交流的可以加小編為好友。咱們一起學習，有問題一起交流，一起進步！前提是你是學技術的。