htmlentities() 글 머리 기호가 맞습니까?

Question

나는 XSS 공격에 대해 PHP 함수 htmlentities()를 사용하고 htmlspecialchars와 같은 관련 함수를 사용하는 보안에 대해 스스로에게 묻고있었습니다.

덕분에 많이 :) 당신은 명시 적으로 적절한 인코딩을 지정해야합니다

Answer 1

(예를 들면 : UTF-8), 크리스 적절한 인코딩없이, 심지어 전화를 htmlentities 코드를 삽입하는 방법에 대한 게시물을했다.

http://shiflett.org/blog/2005/dec/google-xss-example

Answer 2

는 방탄, 그것은 당신에게 100 %를 절약 할 수 없다되지 않습니다. 보안과 관련하여 개발자는 개발자의 책임이 있음을 기억해야합니다. 언어는 많은 보안 기능을 제공하므로 개발자는 화이트리스트 접근 방식이나 블랙리스트 접근 방식을 사용하여 사이트 보안 방법을 고수해야합니다. htmlentities가 전부라면, codeigniter, kohana와 같은 프레임 워크는 그들 자신의 위대한 보안 기능을 가지고 오지 않을 것입니다.

가장 중요한 것은 사용자가 입력 한 모든 입력을 살균하고 필터링하는 것입니다.

Answer 3

아니요, htmlspecialchars 및 htmlentities과 같은 기능은 모든 교차 사이트 스크립팅의 경우를 보호하지 않습니다. 이 기능은 도움이되지 않습니다하는

사례는 다음과 같습니다

• 서버 (DOM 기반 XSS)에 도달하지 않는 데이터를 이용한다.
• 악용 데이터는 HTML 컨텍스트에서만 해석되며 이러한 함수로 인코딩 된 특수 문자는 not required 또는 not the only ones that are special in the corresponding context입니다.

특히 후자의 이유가 종종 누락됩니다. OWASP’s XSS Prevention Cheat Sheet에는 HTML 문서에서 주입이 발생할 수있는 많은 예제가 있습니다. 그러나 모든 HTML 특수 문자가 자바 스크립트 코드를 삽입하고 실행해야하는 것은 아닙니다.