XSS攻擊防護

Question

我發現了一個「數據庫」many XSS attacks，雖然這個列表提供了一個非常大的攻擊列表，但還有其他任何不屬於XML的攻擊，需要注意什麼以及大多數意外？

Answer 1

不確定你在找什麼，但是如果你想阻止你網站上的XSS攻擊，我會說根本不允許HTML。如果您想允許HTML，請參閱StackOverflow如何執行此操作。

您可能會發現其他網站遺漏了一些東西here。

Answer 2

這是一個非常廣泛的話題，需要黑客用於完成XSS的技術的詳細和最新的知識。但首先你不應該信任任何用戶輸入。把它當作潛在的嘗試來破解你的網站或破壞你的數據庫。

您可以使用許多清潔工具可去除像潛在的惡意輸入：

的asp.net微軟反XSS庫，CodePlex從HTML敏捷性包。

對於PHP你當然可以使用HTMLPurifier。這是非常好的和有能力的工具。

Answer 3

我使用HTML Purifier來允許用戶在以前只輸入特定的，安全的HTML到註釋文本框中。它做得非常好，並且具有非常好的文檔。

對於一切，就像一個簡單的文本框，或選擇框，將值寫入頁面時，我總是通過htmlentities()運行：

htmlentities ($_POST['email'], ENT_QUOTES); 

只要所有用戶提交的數據總是被寫入使用htmlentities()的頁面不應該有XSS問題。