我最近有人对应用程序进行了一次渗透测试，发现的关键问题之一是在URL中传递了一些垃圾时，如下所示：
http://example.com/index.php/
%27%3e%3c%69%4d%67%20%53%72%43%3d%78%20%4f%6e%45%72%52%6f%52%3d%61%6c%65%
72%74%28%34%37%34%31%32%29%3e
问题在于，攻击者仅添加一个斜杠，然后添加一些已编码的javascript（带有警报框的图像标签）即可杀死该页面。简单有效的攻击。
如何针对它编码？我已经在清理所有预期的用户输入（例如，当用户通过时index.php?id=<script>alert(1)</script>）。那部分工作正常。
如何保护上面第一段下面引述的意外数据？（此外，这种XSS攻击是否有特定名称？）
我使用$_SERVER['PHP_SELF']的是href标记，因此就触发了JavaScript。
解决方案很简单。PHP_SELF在使用之前，我先运行了一个过滤器，所有通过的垃圾都被清除并且可以在页面上安全使用。
本文收集自互联网，转载请注明来源。
如有侵权，请联系[email protected] 删除。
我来说两句