XSS过滤详解

一、 Xss过滤括号

XSS漏洞一般来说由用户输入的信息中注入了脚本，导致恶意代码被执行。其中括号也是常被利用的一种方式。攻击者会在用户输入的内容中注入特殊字符，其中包括左括号“<”和右括号“>”，这样一来在渲染该内容时，浏览器将把其中的代码当做HTML标签来执行，从而造成脚本注入漏洞。因此在XSS过滤中，第一步往往是过滤掉输入内容中的括号。

var content = document.getElementById("input").value; 
content = content.replace(//g,">");
document.getElementById("output").innerHTML = content;

以上代码使用正则表达式替换输入内容中的左右尖括号为实体字符，从而保证在浏览器中渲染时，这些字符不会被当做标签执行，从而有效防止了XSS攻击。

二、 Xss过滤了尖括号双引号

除了括号，尖括号和双引号也是常被利用的注入方式。比如：攻击者可以把恶意脚本通过输入框注入到页面，通过获取用户的cookie来发起会话劫持。因此XSS过滤器也需要针对这些字符进行过滤。

function xss_filter(str){
  str = str.replace(/[<>&'"]/g,function(c){
    return {'<':'<','>':'>','&':'&',
    '\'':''','"':'"'}[c];
  });
  return str;
}
var content = document.getElementById("input").value; 
document.getElementById("output").innerHTML = xss_filter(content);

以上代码使用正则表达式替换输入内容中的尖括号、单引号、双引号为实体字符，从而避免了可能存在的XSS攻击。

三、 Xss过滤器

XSS过滤器是一类专门用于对输入文本进行过滤的工具，可以有效防止XSS攻击。其原理是对输入内容进行预处理，去除其中的恶意代码，从而避免了该代码被执行的风险。常见的XSS过滤器有Google的CSP、OWASP ESAPI等。

四、 Xss过滤js

当用户输入的内容包含了JavaScript代码时，XSS攻击可通过这些代码注入恶意操作，如盗取用户数据等。因此过滤用户输入的JavaScript代码将成为XSS防护的首要任务。对于这种情况，需要对用户输入的JavaScript代码进行白名单过滤，防止恶意代码的注入。在白名单中只允许html标签、属性和指定的javascript语句。

function xss_javascript_filter(str){
  str = str.replace(/<\/?script.*?>/gmi, '');
  var div = document.createElement('div');
  div.innerHTML = str;
  var scripts = div.getElementsByTagName('script');
  var i = scripts.length;
  while (i--) {
    scripts[i].parentNode.removeChild(scripts[i]);
  }
  return div.innerHTML;
}
var content = document.getElementById("input").value; 
document.getElementById("output").innerHTML = xss_javascript_filter(content);

以上代码在删除输入文本中的<script>标签后，通过动态创建div元素将整个文本串插入其中，从而将任何外部JavaScript代码去除，有效防止JavaScript注入。</p> <h3>五、 Xss过滤原理</h3> <p>XSS过滤主要依靠对输入内容的预处理来实现，其过程包括了以下几个步骤：</p> <p>1. 对输入文本进行Unicode编码，将其转换为一系列的Unicode字符。</p> <pre> 转换前：'<script>alert('XSS')</script>' 转换后：<script>alert('XSS')</script>

2. 进行标签过滤，去掉文本中的HTML标签。

转换前：<script>alert('XSS')</script>
转换后：alert('XSS')

3. 对一些特殊字符进行转义，如尖括号、单引号、双引号等。

转换前："&"
转换后：&

4. 最终得到经过处理后的安全文本，通过重新渲染页面来呈现。

六、 Xss过滤函数

在实际的开发中，我们可以通过封装一些通用的XSS过滤函数来避免重复劳动。下面是一个简单的XSS过滤函数：

function xss_filter(str){
  str = str.replace(/[<>&'"]/g,function(c){
    return {'<':'<','>':'>','&':'&',
    '\'':''','"':'"'}[c];
  });
  return str;
}

七、 Xss过滤 机制

XSS过滤机制是指浏览器或服务器在处理前端提交的数据时，对用户输入的内容进行安全性检验和过滤，有效防止恶意代码被注入。在前端，常见的XSS过滤机制包括输入校验，禁止HTML标签，转换特殊字符等。而在后端，往往需要依赖框架或平台提供的安全机制来过滤用户提交的数据。

八、 Xss过滤alert

在XSS攻击中，alert对开发者非常友好，往往可以直接利用来证明漏洞的存在。因此在进行XSS过滤时，也需要考虑到alert的相关问题。

function is_numeric(val){
    var patrn=/^-?\d.?\d*$/;
    return patrn.exec(val);
}
function xss_filter(str){
    if(typeof str !== 'string' || str === '') return '';
    str = str.replace(//g,">");
    var patt=/<(\S+)[^>]*>(.*?)<\/\1>/gmi;
    str = str.replace(patt, function(match,$1){
        if($1.toLowerCase() === 'script' || $1.toLowerCase() === 'iframe'){
            return '';
        }
        return match;
    });
    if(is_numeric(str)) str = '' + str + '';
    return str;
}

window.alert = function(val){
    return true;
};

以上代码通过覆盖alert函数的方式来过滤掉alert的调用。同时，还在xss_filter函数中添加了判断是否为数字的校验（因为数字不会产生xss攻击），从而进一步提高了安全性。

九、 Xss filter的作用

XSS Filter的主要作用是对用户输入的不可信数据进行检测和过滤，防止其中的恶意代码执行，从而保障Web应用的安全性。通过使用XSS Filter，我们可以实现以下目标：

1、过滤掉恶意脚本，防止XSS攻击。

2、剥离出输入文本中的HTML标签，并将其转换为实体字符。

3、对于纯文本或富文本，只允许安全的标记和属性，并对其中的特殊字符进行过滤。

4、保护敏感的数据，例如cookie、session id等。

十、 Xss绕过尖括号

尖括号绕过是XSS攻击中最常见的攻击方式之一。攻击者通过将恶意代码中的尖括号进行URL编码的方式来规避XSS过滤器的检测，随后再重新解码成尖括号进行执行。

输入：<s	c	r	i	p	t	:alert(1)				
过滤后：<script>alert(1)</script>
输出：<script>alert(1)</script>

为了避免尖括号绕过攻击，开发者需要对输入文本进行多重过滤和检测，使用白名单过滤器来限制输入内容，并且在输出之前对其中的特殊字符进行转义。