本文实例讲述了thinkphp2.x防范xss跨站攻击的方法。分享给大家供大家参考。具体如下:
一直使用thinkphp2.x,通过乌云有向提交了thinkphp xss攻击的bug,抽时间看了一下。
原理是通过url传入script标签,thinkphp异常错误页面直接输出了script。
原理:
http://ask.lenovo.com.cn/index.php?s=1%3cbody+onload=alert(1)%3e
其中m的值是一个不存在的module,同时是一个完全的script,在异常错误页面中被执行实现xss跨站攻击。
防范方法:
找到异常错误页面模板thinkexception.tpl.php(2,x),think_exception.tpl(3.x)有两个地方要修改:
第57行
另外,thinkphp自3.0开始官方已经对tp变量group_name,module_name,action_name,__url__,__self__,__app__,$_server['php_self']做了安全处理。
ps:安全不是框架的责任,大家在开发的时候须自己注意。
希望本文所述对大家基于thinkphp框架的php程序设计有所帮助。
如对本文有疑问, 点击进行留言回复!!
php 使用 yansongda/pay 进行微信,支付宝支付
Codeforces Round #658 (Div. 2) (C1、C2)
van-uploader + thinkphp6.0 图片上传
网友评论