ThinkPHP2.x防范XSS跨站攻擊的方法
本文實例講述了ThinkPHP2.x防范XSS跨站攻擊的方法。分享給大家供大家參考。具體如下：
一直使用ThinkPHP2.x，通過烏云有向提交了ThinkPHP XSS攻擊的bug，抽時間看了一下。
原理是通過URL傳入script標(biāo)簽，ThinkPHP異常錯誤頁面直接輸出了script。
原理：
http://ask.lenovo.com.cn/index.php?s=1%3Cbody+onload=alert(1)%3E
其中m的值是一個不存在的module，同時是一個完全的script，在異常錯誤頁面中被執(zhí)行實現(xiàn)XSS跨站攻擊。
防范方法：
找到異常錯誤頁面模板ThinkException.tpl.php(2,x),think_exception.tpl(3.x)有兩個地方要修改：
第57行
改為
第62行
改為
另外，ThinkPHP自3.0開始官方已經(jīng)對TP變量GROUP_NAME,MODULE_NAME,ACTION_NAME,__URL__,__SELF__,__APP__,$_SERVER['PHP_SELF']做了安全處理。
PS：安全不是框架的責(zé)任，大家在開發(fā)的時候須自己注意。
希望本文所述對大家基于ThinkPHP框架的php程序設(shè)計有所幫助。
相關(guān)文章
在win系統(tǒng)安裝配置 Memcached for PHP 5.3 圖文教程
這篇文章主要介紹了在win系統(tǒng)安裝配置 Memcached for PHP 5.3 圖文教程,需要的朋友可以參考下2015-03-03
本文實現(xiàn)PHP搜索加分頁，解決了大量數(shù)量瀏覽的分頁問題，力求讓看完這篇文章的朋友在看完以后對于分頁顯示的原理和實現(xiàn)方法有所了解。2016-10-10
Zend Framework 2.0事件管理器（The EventManager）入門教程
這篇文章主要介紹了Zend Framework 2.0事件管理器（The EventManager）入門教程,本文包含快速入門例子、EventManager的選項和方法等,需要的朋友可以參考下2014-08-08
這篇文章主要介紹了Smarty分頁實現(xiàn)方法,涉及基于Smarty的數(shù)據(jù)庫查詢、分頁相關(guān)計算與模板操作技巧,需要的朋友可以參考下2016-05-05
這篇文章主要介紹了PHP網(wǎng)頁安全認(rèn)證的實例詳解的相關(guān)資料,這里提供了兩種實現(xiàn)方法，一種基于數(shù)據(jù)庫另一種不基于數(shù)據(jù)庫的方法，希望通過本能幫助到大家，需要的朋友可以參考下2017-09-09
CodeIgniter是一個輕量級但功能強(qiáng)大的PHP框架，基于MVC設(shè)計模式，提供了一套豐富的類庫，簡單易學(xué)，高效實用。下面給大家介紹CI框架無限級分類+遞歸的實現(xiàn)代碼，感興趣的朋友參考下吧2016-11-11
PHP 面向?qū)ο蟪绦蛟O(shè)計（oop）學(xué)習(xí)筆記 (五) - PHP 命名空間
PHP 在 5.3.0 以后的版本開始支持命名空間。什么是命名空間？從廣義上來說，命名空間是一種封裝事物的方法。在很多地方都可以見到這種抽象概念。2014-06-06
PHP中的輸出echo、print、printf、sprintf、print_r和var_dump的示例代碼
這篇文章主要介紹了PHP中的輸出echo、print、printf、sprintf、print_r和var_dump的方法，本文通過實例代碼給大家介紹的非常詳細(xì)，對大家的學(xué)習(xí)或工作具有一定的參考借鑒價值,需要的朋友可以參考下2020-12-12
這篇文章主要介紹了thinkphp5框架路由原理與用法,結(jié)合圖文與實例形式詳細(xì)分析了thinkPHP5框架路由的相關(guān)原理、使用方法及操作注意事項,需要的朋友可以參考下2020-02-02
php實現(xiàn)支付寶當(dāng)面付（掃碼支付）功能
這篇文章主要為大家詳細(xì)介紹了php實現(xiàn)支付寶當(dāng)面付，掃碼支付功能，具有一定的參考價值，感興趣的小伙伴們可以參考一下2018-05-05