[php] kasowanie javascript ze stringa Opcje

[marcinek37]

[PHP] pobierz, plaintext 
function strip_script($string) {
$string = preg_replace("/<script[^>]*>.*?< *script[^>]*>/i", "", $string);
$string = preg_replace("/<script[^>]*>/i", "", $string);
return $string;
}
[PHP] pobierz, plaintext 

czy taka funkcja wystarczy, aby każdy skrypt usunąć ze stringa?

[sowiq]

Nie wystarczy.

Kod

<<script>script>alert('1')</script>

Masz złe podejście. Zamiast robienia blacklisty i usuwania rzeczy w niej zawartej powinieneś zrobić whitelistę i usuwać wszystko, czego na niej nie ma. "Atakujący" zawsze może wymyślić coś, o czym Ty nie pomyślałeś. Chociażby

Kod

<img src="java script:alert(1)" />

Ten kod nie zadziała na teraźniejszych przeglądarkach, ale na starszych najprawdopodobniej tak.

Jeszcze raz polecam http://htmlpurifier.org/ bo to na prawdę dobre i sprawdzone rozwiązanie.

[edit]
Forum automatycznie rozdziela spacją javascript w tagu img powyżej

Ten post edytował sowiq 5.10.2012, 10:14:54