搜索

[8103] 2014-06-25_XssHtml–基于白名单的富文本XSS过滤类

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-17
2014-06-25_XssHtml–基于白名单的富文本XSS过滤类 X s s H t m l   –   基 于 白 名 单 的 富 文 本 X S S 过 滤 类 p h i t h o n   F r e e B u f   2 0 1 4 - 0 6 - 2 5 关 于 富 文 本 X S S ， 我 在 之 前 的 一 篇 文 章 里 ( h t t p : / / w w w . f r e e b u f . c o m / a r t i c l e s / w e b / 3 0 2 0 1 . h t m l ) 已 经 比 较 详 细 地 说 明 了 一 些 开 源 应 用 使 用 的 X S S   F l i t e r 以 及 绕 过 方 法 。 之 前 我 也 总 结 了 一 些 f l i t e r 的 缺 点 ， 利 用 白 名 单 机 制 完 成 了 一 个 X S S   F l i t e r 类 ， 希 望 能 更 大 程 度 地 避 免 富 文 本 X S S 的 产 生 。 总 结 一 下 现 存 的 一 些 X S S   F l i t e r 的 缺 点 ， 可 以 归 纳 成 以 下 几 条 ：         1 . 黑 名 单 过 滤 一 些 标 签 ， 但 没 有 考 虑 全 面 。 比 如 < s v g > 、 < o b j e c t > 、 < i n p u t > 等         2 . 黑 名 单 过 滤 一 些 属 性 ， 但 没 有 考 虑 全 面 ， 比 如 o n f o c u s 、 o n f o c u s i n 等         3 . 对 伪 协 议 考 虑 不 全 面 ， 比 如 < a   h r e f = j a v a s c r i p t : a l e r t ( 1 ) > ， 有 时 候 只 是 简 单 过 滤 s c r i p t 这 种 关 键 词 ， 但 总 能 用 字 符 编 码 绕 过         4 . 过 滤 关 键 词 时 过 于 单 纯 ， 比 如 直 接 将 s c r i p t 过 滤 为 空 ， 导 致 使 用 s c r s c r i p t i p t 就 能 绕 过 。 再 比 如 直 接 将 字 符 实 体 转 换 为 原 字 符 ， 导 致 使 用 嵌 套 的 字 符 实 体 来 绕 过 。         5 . 对 I E 的 特 性 了 解 不 深 ， 比 如 e x p r e s s i o n ， 中 间 可 以 加 ， I E 7 下 可 以 加 / * * / 来 绕 过 。 而 一 般 提 供 给 一 般 用 户 使 用 的 富 文 本 编 辑 器 ， 都 是 一 些 很 常 见 功 能 ， 比 如 图 片 ( 表 情 ) 、 超 链 接 、 加 粗 、 加 斜 、 字 号 、 字 体 、 颜 色 、 分 隔 符 等 ， 所 以 我 们 完 全 可 以 用 白 名 单 的 思 想 去 写 一 个 富 文 本 过 滤 器 ， 将 编 辑 器 中 最 常 用 到 的 一 些 功 能 做 相 应 的 过 滤 ， 其 他 标 签 、 属 性 统 统 丢 弃 ， 来 达 到 过 滤 X S S 的 效 果 。 所 以 我 的 X s s H t m l 类 设 计 思 路 是 这 样 ： 首 先 用 s t r i p _ t a g s 清 理 掉 白 名 单 外 、 不 规 范 的 标 签 ， 然 后 用 D O M D o c u m e n t 类 加 载 这 个 H T M L 进 D O M 中 。 遍 历 D O M ， 删 除 白 名 单 外 的 属 性 ， 并 强 制 判 断 并 给 非 法 的 h r e f 链 接 前 面 加 入 h t t p : / / 。 最 后 再 将 过 滤 完 的 D O M 导 出 成 H T M L 返 回 。 这 样 做 有 几 个 好 处 ：         1 . 整 个 类 设 计 简 单 ， 只 要 创 建 好 对 象 ， 调 用 一 个 方 法 即 可 得 到 过 滤 结 果 。         2 . 白 名 单 处 理 ， 能 考 虑 到 所 有 情 况         3 . 用 P H P 自 带 的 D O M D o c u m e n t 类 处 理 h t m l ， 能 有 效 处 理 一 些 不 规 则 的 内 容 。         4 . 面 向 对 象 类 设 计 ， 以 后 想 增 加 其 他 标 签 ， 写 针 对 性 的 代 码 可 以 直 接 调 用 之 前 写 好 的 方 法 处 理 。 不 过 也 有 一 些 缺 陷 ， 就 是 过 滤 X S S 不 支 持 I E 6 及 以 下 浏 览 器 。 因 为 I E 6 下 奇 葩 特 性 太 多 了 ， 会 严 重 影 响 过 滤 器 的 效 果 与 性 能 ， 所 以 我 就 没 有 考 虑 一 些 I E 6 的 特 性 。 总 的 来 说 这 应 该 是 很 多 不 了 解 安 全 的 程 序 员 的 福 音 了 。 代 码 请 点 击 下 方 阅 读 原 文 查 看 。 具 体 使 用 方 法 可 以 参 阅 ： h t t p : / / p h i t h 0 n . g i t h u b . i o / X s s H t m l /   这 里 有 详 细 说 明 。 我 还 在 自 己 主 机 上 搭 建 了 一 个 使 用 该 类 的 一 个 t e s t ， 希 望 有 同 学 能 找 到 B U G ， 完 善 过 滤 类 。 地 址 是 h t t p : / / x s s h t m l . l e a v e s o n g s . c o m / 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理