PHP防止跨站和xss攻击代码（php怎么防止xss攻击）

25-04-03 8

对于想了解PHP防止跨站和xss攻击代码的读者，本文将提供新的信息，我们将详细介绍php怎么防止xss攻击，并且为您提供关于PHP中防止SQL注入攻击和XSS攻击的两个简单方法、PHP中防止SQL注入

对于想了解PHP防止跨站和xss攻击代码的读者，本文将提供新的信息，我们将详细介绍php怎么防止xss攻击，并且为您提供关于PHP中防止SQL注入攻击和XSS攻击的两个简单方法、PHP中防止SQL注入攻击和XSS攻击的两个简单方法_php技巧、PHP中防止SQL注入攻击和XSS攻击的两个简单方法_PHP教程、PHP和XSS跨站攻击的有价值信息。

本文目录一览：

PHP防止跨站和xss攻击代码（php怎么防止xss攻击）
PHP中防止SQL注入攻击和XSS攻击的两个简单方法
PHP中防止SQL注入攻击和XSS攻击的两个简单方法_php技巧
PHP中防止SQL注入攻击和XSS攻击的两个简单方法_PHP教程
PHP和XSS跨站攻击

PHP防止跨站和xss攻击代码（php怎么防止xss攻击）

这篇文章主要介绍了PHP实现的防止跨站和xss攻击代码,是一款来自阿里云的防注入脚本,可实现针对注入、XSS攻击等的过滤功能,需要的朋友可以参考下
本文实例讲述了PHP实现的防止跨站和xss攻击代码。分享给大家供大家参考，具体如下：
文档说明：
1.将waf.php传到要包含的文件的目录
2.在页面中加入防护，有两种做法，根据情况二选一即可：
a).在所需要防护的页面加入代码
require_once(‘waf.php’);

就可以做到页面防注入、跨站
如果想整站防注，就在网站的一个公用文件中，如数据库链接文件config.inc.php中！
添加require_once(‘waf.php’);来调用本代码
常用php系统添加文件
PHPCMS V9 \phpcms\base.php
PHPWIND8.7 \data\sql_config.php
DEDECMS5.7 \data\common.inc.php
DiscuzX2 \config\config_global.php
Wordpress \wp-config.php
Metinfo \include\head.php
b).在每个文件最前加上代码
在php.ini中找到:
Automatically add files before or after any PHP document.
auto_prepend_file = waf.php路径;
PHP文件 waf.php

<?php
/* 功能说明：防护XSS,SQL,代码执行，文件包含等多种高危漏洞 */
$url_arr=array(
''xss''=>"\\=\\+\\/v(?:8|9|\\+|\\/)|\\%0acontent\\-(?:id|location|type|transfer\\-encoding)",
);
$args_arr=array(
''xss''=>"[\\''\\\"\\;\\*\\<\\>].*\\bon[a-zA-Z]{3,15}[\\s\\r\\n\\v\\f]*\\=|\\b(?:expression)\\(|\\<script[\\s\\\\\\/]|\\<\\!\\[cdata\\[|\\b(?:eval|alert|prompt|msgbox)\\s*\\(|url\\((?:\\#|data|javascript)",
''sql''=>"[^\\{\\s]{1}(\\s|\\b)+(?:select\\b|update\\b|insert(?:(\\/\\*.*?\\*\\/)|(\\s)|(\\+))+into\\b).+?(?:from\\b|set\\b)|[^\\{\\s]{1}(\\s|\\b)+(?:create|delete|drop|truncate|rename|desc)(?:(\\/\\*.*?\\*\\/)|(\\s)|(\\+))+(?:table\\b|from\\b|database\\b)|into(?:(\\/\\*.*?\\*\\/)|\\s|\\+)+(?:dump|out)file\\b|\\bsleep\\([\\s]*[\\d]+[\\s]*\\)|benchmark\\(([^\\,]*)\\,([^\\,]*)\\)|(?:declare|set|select)\\b.*@|union\\b.*(?:select|all)\\b|(?:select|update|insert|create|delete|drop|grant|truncate|rename|exec|desc|from|table|database|set|where)\\b.*(charset|ascii|bin|char|uncompress|concat|concat_ws|conv|export_set|hex|instr|left|load_file|locate|mid|sub|substring|oct|reverse|right|unhex)\\(|(?:master\\.\\.sysdatabases|msysaccessobjects|msysqueries|sysmodules|mysql\\.db|sys\\.database_name|information_schema\\.|sysobjects|sp_makewebtask|xp_cmdshell|sp_oamethod|sp_addextendedproc|sp_oacreate|xp_regread|sys\\.dbms_export_extension)",
''other''=>"\\.\\.[\\\\\\/].*\\%00([^0-9a-fA-F]|$)|%00[\\''\\\"\\.]");
$referer=empty($_SERVER[''HTTP_REFERER'']) ? array() : array($_SERVER[''HTTP_REFERER'']);
$query_string=empty($_SERVER["QUERY_STRING"]) ? array() : array($_SERVER["QUERY_STRING"]);
check_data($query_string,$url_arr);
check_data($_GET,$args_arr);
check_data($_POST,$args_arr);
check_data($_COOKIE,$args_arr);
check_data($referer,$args_arr);
function W_log($log)
{
   
  $logpath=$_SERVER["DOCUMENT_ROOT"]."/log.txt";
  $log_f=fopen($logpath,"a+");
  fputs($log_f,$log."\r\n");
  fclose($log_f);
}
function check_data($arr,$v) {
   
 foreach($arr as $key=>$value)
 {
   
  if(!is_array($key))
  {
    check($key,$v);}
  else
  {
    check_data($key,$v);}
  if(!is_array($value))
  {
    check($value,$v);}
  else
  {
    check_data($value,$v);}
 }
}
function check($str,$v)
{
   
  foreach($v as $key=>$value)
  {
   
  if (preg_match("/".$value."/is",$str)==1||preg_match("/".$value."/is",urlencode($str))==1)
    {
   
      //W_log("<br>IP: ".$_SERVER["REMOTE_ADDR"]."<br>时间: ".strftime("%Y-%m-%d %H:%M:%S")."<br>页面:".$_SERVER["PHP_SELF"]."<br>提交方式: ".$_SERVER["REQUEST_METHOD"]."<br>提交数据: ".$str);
      print "您的提交带有不合法参数,谢谢合作";
      exit();
    }
  }
}
?>

PHP中防止SQL注入攻击和XSS攻击的两个简单方法

mysql_real_escape_string()

所以得SQL语句如果有类似这样的写法："select * from cdr where src =".$userId; 都要改成 $userId=mysql_real_escape_string($userId)

所有有打印的语句如echo，print等在打印前都要使用htmlentities() 进行过滤，这样可以防止Xss，注意中文要写出htmlentities($name,ENT_NOQUOTES,GB2312) 。

PHP中防止SQL注入攻击和XSS攻击的两个简单方法_php技巧

PHP中防止SQL注入攻击和XSS攻击的两个简单方法_PHP教程

http://www.bkjia.com/PHPjc/321539.htmlwww.bkjia.comtruehttp://www.bkjia.com/PHPjc/321539.htmlTechArticlemysql_real_escape_string() 所以得SQL语句如果有类似这样的写法："select * from cdr where src =".$userId; 都要改成 $userId=mysql_real_escape_string($userId) 所有有...

PHP和XSS跨站攻击

其实这个话题很早就想说说了，发现国内不少PHP站点都有XSS漏洞。今天偶然看到PHP5的一个XSS漏洞，在此小结一下。顺便提醒，使用PHP5的朋友最好打下补丁，或者升级一下。

如果你不懂什么是XSS，可以看这里，或者这里（中文的也许会好懂一些）。

国内不少论坛都存在跨站脚本漏洞，例如这里有一个Google Hack+XSS的攻击例子，针对的是Discuz 4.0.0RC3。国外也很多这样的例子，甚至Google也出现过，不过在12月初时修正了。跨站攻击很容易就可以构造，而且非常隐蔽，不易被查觉（通常盗取信息后马上跳转回原页面）。
如何攻击，在此不作说明（也不要问我），主要谈谈如何防范。首先，跨站脚本攻击都是由于对用户的输入没有进行严格的过滤造成的，所以我们必须在所有数据进入我们的网站和数据库之前把可能的危险拦截。针对非法的HTML代码包括单双引号等，可以使用htmlentities() 。

<?php $str = "A quote is bold"; // Outputs: A quote is bold echo <fontcolor="#ffffff">htmlentities($str); // Outputs: A ''quote'' is bold echo <fontcolor="#ffffff">htmlentities($str, ENT_QUOTES); ?> 这样可以使非法的脚本失效。 
但是要注意一点，<fontface="新宋体" color="#ffffff">htmlentities()默认编码为 ISO-8859-1，如果你的非法脚本编码为其它，那么可能无法过滤掉，同时浏览器却可以识别和执行。这个问题我先找几个站点测试后再说。

这里提供一个过滤非法脚本的函数：

function RemoveXSS($val) { <fontcolor="#6fe16f">// remove all non-printable characters. CR(0a) and LF(0b) and TAB(9) are allowed <fontcolor="#6fe16f">// this prevents some character re-spacing such as <javascript></javascript> <fontcolor="#6fe16f">// note that you have to handle splits with , , and later since they *are* allowed in some inputs $val = preg_replace(/([x00-x08][x0b-x0c][x0e-x20])/, , $val); // straight replacements, the user should never need these since theyre normal characters // this prevents like <img src="@avascript:alert(''XSS'')" alt="PHP和XSS跨站攻击" > $search = abcdefghijklmnopqrstuvwxyz; $search .= ABCDEFGHIJKLMNOPQRSTUVWXYZ; $search .= 1234567890!@#$%^&*(); $search .= ~`";:?+/={}[]-_|\; for ($i = 0; $i // ;? matches the ;, which is optional // 0{0,7} matches any padded zeros, which are optional and go up to 8 chars // @ @ search for the hex values $val = preg_replace(/([x|X]0{0,8}.dechex(ord($search[$i])).;?)/i, $search[$i], $val); // with a ; // @ @ 0{0,7} matches 0 zero to seven times $val = preg_replace(/({0,8}.ord($search[$i]).;?)/, $search[$i], $val); // with a ; } // now the only remaining whitespace attacks are , , and $ra1 = Array(javascript, vbscript, expression, applet, meta, xml, blink, link, style, script, embed, object, iframe, frame, frameset, ilayer, layer, bgsound, title, base); $ra2 = Array(onabort, onactivate, onafterprint, onafterupdate, onbeforeactivate, onbeforecopy, onbeforecut, onbeforedeactivate, onbeforeeditfocus, onbeforepaste, onbeforeprint, onbeforeunload, onbeforeupdate, onblur, onbounce, oncellchange, onchange, onclick, oncontextmenu, oncontrolselect, oncopy, oncut, ondataavailable, ondatasetchanged, ondatasetcomplete, ondblclick, ondeactivate, ondrag, ondragend, ondragenter, ondragleave, ondragover, ondragstart, <fo></fo>

我们今天的关于PHP防止跨站和xss攻击代码和php怎么防止xss攻击的分享已经告一段落，感谢您的关注，如果您想了解更多关于PHP中防止SQL注入攻击和XSS攻击的两个简单方法、PHP中防止SQL注入攻击和XSS攻击的两个简单方法_php技巧、PHP中防止SQL注入攻击和XSS攻击的两个简单方法_PHP教程、PHP和XSS跨站攻击的相关信息，请在本站查询。

本文标签：