PHP利用str_replace防注入的方法-php手册-php.cn

집

php教程

php手册

PHP利用str_replace防注入的方法

WBOYWBOYWBOYWBOYWBOYWBOYWBOYWBOYWBOYWBOYWBOYWBOYWB

Jun 13, 2016 am 09:31 AM

phpreplacestr

PHP各种过滤字符函数

复制代码代码如下:

       /**
    * 安全过滤函数
    *
    * @param $string
    * @return string
    */
    function safe_replace($string) {
    $string = str_replace('%20','',$string);
    $string = str_replace('%27','',$string);
    $string = str_replace('%2527','',$string);
    $string = str_replace('*','',$string);
    $string = str_replace('"','"',$string);
    $string = str_replace("'",'',$string);
    $string = str_replace('"','',$string);
    $string = str_replace(';','',$string);
    $string = str_replace('    $string = str_replace('>','>',$string);
    $string = str_replace("{",'',$string);
    $string = str_replace('}','',$string);
    $string = str_replace('','',$string);
    return $string;
    }
    ?>

        /**
    * 返回经addslashes处理过的字符串或数组
    * @param $string 需要处理的字符串或数组
    * @return mixed
    */
    function new_addslashes($string) {
    if(!is_array($string)) return addslashes($string);
    foreach($string as $key => $val) $string[$key] = new_addslashes($val);
    return $string;
    }
    ?>

        //对请求的字符串进行安全处理
    /*
    $safestep
    0 为不处理，
    1 为禁止不安全HTML内容(javascript等)，
    2 完全禁止HTML内容，并替换部份不安全字符串（如：eval(、union、CONCAT(、--、等）
    */
    function StringSafe($str, $safestep=-1){
    $safestep = ($safestep > -1) ? $safestep : 1;
    if($safestep == 1){
    $str = preg_replace("#script:#i", "ｓｃｒｉｐｔ：", $str);
    $str = preg_replace("#]*>#isU", '', $str);
    $str = preg_replace("#[ ]{1,}#", ' ', $str);
    return $str;
    }else if($safestep == 2){
    $str = addslashes(htmlspecialchars(stripslashes($str)));
    $str = preg_replace("#eval#i", 'ｅｖａｌ', $str);
    $str = preg_replace("#union#i", 'ｕｎｉｏｎ', $str);
    $str = preg_replace("#concat#i", 'ｃｏｎｃａｔ', $str);
    $str = preg_replace("#--#", '－－', $str);
    $str = preg_replace("#[ ]{1,}#", ' ', $str);
    return $str;
    }else{
    return $str;
    }
    }
    ?>

/**
 +----------------------------------------------------------
 * 输出安全的html，用于过滤危险代码
 +----------------------------------------------------------
 * @access public
 +----------------------------------------------------------
 * @param string $text 要处理的字符串
 * @param mixed $tags 允许的标签列表，如 table|td|th|td
 +----------------------------------------------------------
 * @return string
 +----------------------------------------------------------
 */
 static public function safeHtml($text, $tags = null)
 {
 $text = trim($text);
 //完全过滤注释
 $text = preg_replace('//','',$text);
 //完全过滤动态代码
 $text = preg_replace('/|?'.'>/','',$text);
 //完全过滤js
 $text = preg_replace('/<script>/','',$text); $text = str_replace('[','[',$text); $text = str_replace(']',']',$text); $text = str_replace('|','|',$text); //过滤换行符 $text = preg_replace('/ ? /','',$text); //br $text = preg_replace('/<br(s/)?'.'>/i','[br]',$text); $text = preg_replace('/([br]s*){10,}/i','[br]',$text); //过滤危险的属性，如：过滤on事件lang js while(preg_match('/(<[^><]+)(lang|on|action|background|codebase|dynsrc|lowsrc)[^><]+/i',$text,$mat)){ $text=str_replace($mat[0],$mat[1],$text); } while(preg_match('/(<[^><]+)(window.|javascript:|js:|about:|file:|document.|vbs:|cookie)([^><]*)/i',$text,$mat)){ $text=str_replace($mat[0],$mat[1].$mat[3],$text); } if( empty($allowTags) ) { $allowTags = self::$htmlTags['allow']; } //允许的HTML标签 $text = preg_replace('/<('.$allowTags.')( [^><[]]*)>/i','[12]',$text); //过滤多余html if ( empty($banTag) ) { $banTag = self::$htmlTags['ban']; } $text = preg_replace('/</?('.$banTag.')[^><]*>/i','',$text); //过滤合法的html标签 while(preg_match('/<([a-z]+)[^><[]]*>[^><]*</1>/i',$text,$mat)){ $text=str_replace($mat[0],str_replace('>',']',str_replace('<','[',$mat[0])),$text); } //转换引号 while(preg_match('/([[^[]]*=s*)("|')([^2=[]]+)2([^[]]*])/i',$text,$mat)){ $text=str_replace($mat[0],$mat[1].'|'.$mat[3].'|'.$mat[4],$text); } //空属性转换 $text = str_replace('''','||',$text); $text = str_replace('""','||',$text); //过滤错误的单个引号 while(preg_match('/[[^[]]*("|')[^[]]*]/i',$text,$mat)){ $text=str_replace($mat[0],str_replace($mat[1],'',$mat[0]),$text); } //转换其它所有不合法的 < > $text = str_replace('<','<',$text); $text = str_replace('>','>',$text); $text = str_replace('"','"',$text); //反转换 $text = str_replace('[','<',$text); $text = str_replace(']','>',$text); $text = str_replace('|','"',$text); //过滤多余空格 $text = str_replace(' ',' ',$text); return $text; } ?></script>

성명

본 글의 내용은 네티즌들의 자발적인 기여로 작성되었으며, 저작권은 원저작자에게 있습니다. 본 사이트는 이에 상응하는 법적 책임을 지지 않습니다. 표절이나 침해가 의심되는 콘텐츠를 발견한 경우 admin@php.cn으로 문의하세요.

핫 AI 도구

Undresser.AI Undress

사실적인 누드 사진을 만들기 위한 AI 기반 앱

AI Clothes Remover

사진에서 옷을 제거하는 온라인 AI 도구입니다.

Undress AI Tool

무료로 이미지를 벗다

Clothoff.io

AI 옷 제거제

Video Face Swap

완전히 무료인 AI 얼굴 교환 도구를 사용하여 모든 비디오의 얼굴을 쉽게 바꾸세요!

뜨거운 도구

VSCode Windows 64비트 다운로드

Microsoft에서 출시한 강력한 무료 IDE 편집기

DVWA

DVWA(Damn Vulnerable Web App)는 매우 취약한 PHP/MySQL 웹 애플리케이션입니다. 주요 목표는 보안 전문가가 법적 환경에서 자신의 기술과 도구를 테스트하고, 웹 개발자가 웹 응용 프로그램 보안 프로세스를 더 잘 이해할 수 있도록 돕고, 교사/학생이 교실 환경 웹 응용 프로그램에서 가르치고 배울 수 있도록 돕는 것입니다. 보안. DVWA의 목표는 다양한 난이도의 간단하고 간단한 인터페이스를 통해 가장 일반적인 웹 취약점 중 일부를 연습하는 것입니다. 이 소프트웨어는