È htmlentities() a prova di proiettile?

Question

Mi chiedevo della sicurezza dell'utilizzo della funzione php htmlentities() contro gli attacchi XSS e forse delle funzioni correlate come htmlspecialchars.

grazie mille :)

Answer 1

Sarà necessario specificare esplicitamente la codifica corretta (per esempio: utf-8), Chris ha avuto un post su come iniettare codice anche chiamando htmlentities senza codifica appropriata.

http://shiflett.org/blog/2005/dec/google-xss-example

Answer 2

non è a prova di proiettile, non ha mai consente di risparmiare il 100%. È necessario ricordare che quando si tratta di sicurezza, lo sviluppatore ne è responsabile. Le lingue offrono una buona quantità di funzioni di sicurezza e tanto più spetta agli sviluppatori sapere come proteggono il loro sito sia che utilizzino l'approccio di whitelist o l'approccio di lista nera. Se htmlentities fosse tutto, framework come codeigniter, kohana e altri non avrebbero avuto le loro grandi funzioni di sicurezza.

La cosa più importante è sanificare e filtrare qualsiasi input proveniente dall'utente.

Answer 3

No, funzioni come htmlspecialchars e htmlentities non proteggono da tutti i casi di Cross-Site Scripting.

Casi in cui queste funzioni non aiuterà sono:

• L'exploit di dati non raggiunge il server (basato su DOM XSS).
• I dati di exploit non vengono interpretati solo in un contesto HTML e i caratteri speciali codificati da queste funzioni sono not required o not the only ones that are special in the corresponding context.

Soprattutto quest'ultimo motivo è spesso mancato. Esistono molti esempi nello OWASP’s XSS Prevention Cheat Sheet per i casi in cui può verificarsi un'iniezione in un documento HTML. Ma non tutti richiedono uno dei caratteri speciali HTML per iniettare ed eseguire il codice JavaScript.