新松智慧园地址:ThinkPHP防范XSS跨站攻击
来源:百度文库 编辑:中财网 时间:2024/04/29 13:12:51
一直使用ThinkPHP,通过乌云有向提交了ThinkPHP XSS攻击的bug,抽时间看了一下。
原理是通过URL传入script标签,ThinkPHP异常错误页面直接输出了script。
原理:
http://www.example.com/index.php?m=”>< script>alert(‘xss’);< /script>&a=index
其中m的值是一个不存在的module,同时是一个完全的script,在异常错误页面中被执行实现XSS跨站攻击。
防范方法:
找到异常错误页面模板ThinkException.tpl.php(2,x),think_exception.tpl(3.x)有两个地方要修改:
第57行 echo($_SERVER['PHP_SELF'])
改为 echo strip_tags($_SERVER['PHP_SELF'])
第62行 echo $e['message']
改为 echo strip_tags($e['message'])
另外,马上要发布的3.0官方已经对TP变量GROUP_NAME,MODULE_NAME,ACTION_NAME,__URL__,__SELF__,__APP__,$_SERVER['PHP_SELF']做了安全处理。
PS:安全不是框架的责任,大家在开发的时候须自己注意。
网络攻击与防范
网络攻击与防范
如何防范病毒攻击?
网络攻击与防范
防范蠕虫王攻击
如何防范ICMP攻击?
什么是DOS攻击,怎样防范
怎样防范恶意网站攻击?
防范2003蠕虫王攻击
win2000 arp 攻击如何防范
tcp syn flood攻击怎么防范?
防范黑客攻击的措施有哪些?
怎样最好的防范木马的攻击?
防火墙提示有防范蠕虫王攻击?
防范2003蠕王攻击的问题
被不同ID频繁攻击如何防范
如何防范SQL1434蠕虫王攻击
防范2003蠕虫王攻击(1434端口)
网吧收银端被人攻击如何防范
网吧收银端被人攻击 如何进行防范
为什么我老受到攻击 怎样防范
防范2003蠕虫王攻击(1314端口)
怎样才能防范别人对电脑的攻击?
防范蠕虫王攻击67.110.221.33