ThinkPHP防範XSS跨站攻擊
阿新 • • 發佈：2019-01-04
原理是通過URL傳入script標籤，ThinkPHP異常錯誤頁面直接輸出了script。
原理：
其中m的值是一個不存在的module，同時是一個完全的script，在異常錯誤頁面中被執行實現XSS跨站攻擊。
httpx://www.example.com/index.php?m=">< script>alert('xss');< /script>&a=index
防範方法：
找到異常錯誤頁面模板ThinkException.tpl.php(2,x),think_exception.tpl(3.x)有兩個地方要修改：
第57行 echo($_SERVER['PHP_SELF'])
改為 echo strip_tags($_SERVER['PHP_SELF'])
第62行 echo $e['message']
改為 echo strip_tags($e['message'])
PS：安全不是框架的責任，大家在開發的時候須自己注意。
原文地址：http://www.hdj.me/thinkphp-deny-xss