有mod_security和htmlpurifier是一個矯枉過正的？

我們之前將htmlpurifier集成到了我們基於LAMP的產品中，但速度有點慢。最近，我們已經打開了mod_security。這兩個都是OWASP項目的一部分（owasp使用htmlpurifer內部最後一次檢查），所以我認爲安全性是多餘的。有mod_security和htmlpurifier是一個矯枉過正的？

你會建議什麼？是關閉htmpurifier一個可行的選擇？感謝任何答案。

來源

2011-05-13 pinaki

他們都做不同的事情。 mod_security是黑名單。它涵蓋了一些通用漏洞（其中包括XSS，SQL注入，目錄遍歷，URL注入等）和過去的應用程序漏洞，但可能更易於用更加詳盡的編碼和特定於應用程序的方法繞過篩選器。（它通常只是針對一些URL參數進行探測）。

HTMLPurifier確實只是對HTML消毒進行了處理，但它表現相當出色。這是一個白名單過濾器，所以根據定義更安全。當然很慢。這就是爲什麼你只應用它到傳入的數據，而不是作爲一切和所有地方的通用過濾器。如果它減慢你的應用程序，你可能會在錯誤的地方使用它。

來源

2011-05-13 07:19:56 mario

感謝您的回答。所以你說的是，由於mod_security是基於正則表達式的，因此比基於令牌的htmlpurifier更容易破解？那麼，如果我們選擇刪除mod_security並保留htmlpurifier，會否影響？再次感謝。 – pinaki 2011-05-13 07:25:31

我不會禁用它。它使我個人在誤報方面遇到了很多麻煩，但它對防止垃圾郵件和xss嘗試的防火牆速度要快得多。我不會僅僅依靠它，但它會減少應用程序內檢查並因此減少日誌條目。它確實會導致一些服務器放緩，但我認爲這不夠重要。所以保持啓用，除非你有一個擁有太多併發用戶的大網站。 – mario 2011-05-13 07:29:30

有mod_security和htmlpurifier是一個矯枉過正的？

回答

相關問題