PHPでURLエンコードされたXSS攻撃を防止する

Question

サイトがXSS攻撃に対する脆弱性のために私のウェブサイトをPCIに準拠させることに問題があります。私はhtmlspecialchars（）とhtmlentities（）を使ってみましたが、Trustwaveはまだ私のサイトがURLでエンコードされた攻撃に対して脆弱だと言っています。例えば、誰かが私が求めているurl変数に "％2522％253E％2527％253E％253CIfRaME％253E"のようなものを入力するかもしれません。助けてください！！感謝:)

Answer 1

マイ2cent：あなたはMVCを使用している場合

、その後、ルーティングする前に値ofthe全てをデコードし、これらの不快を取り除くためにstript_tags()を使用するようにしてください。 docsのように、大文字と小文字は区別されません。

そうでない場合は、ユーティリティ関数を作成し、URIから変数を取得するときに同じことを行います。しかし、私は決してXSSの専門家ではないので、これはちょうどトリックの一部であるかもしれません。