table

正則表達(dá)式過濾HTML危險(xiǎn)腳本

在做一些網(wǎng)站（特別是bbs之類）時(shí)，經(jīng)常會(huì)有充許用戶輸入html樣式代碼，卻禁止腳本的運(yùn)行的需求, 以達(dá)到豐富網(wǎng)頁樣式，禁止惡意代碼的運(yùn)行。
當(dāng)然不能用 htmlencode 和 htmldecode 方法,因?yàn)檫@樣連基本的html代碼會(huì)被禁止掉。
我在網(wǎng)上搜索，也沒有找到好的解決辦法，倒是收集了一些腳本攻擊的實(shí)例：
1. <script>標(biāo)記中包含的代碼
2. <a href=javascript:...中的代碼
3. 其它基本控件的 on...事件中的代碼
4. iframe 和 frameset 中載入其它頁面造成的攻擊
有了這些資料后，事情就簡單多了，寫一個(gè)簡單的方法，用正則表達(dá)式把以上符合幾點(diǎn)的代碼替換掉:
public string wipescript(string html)
{
system.text.regularexpressions.regex regex1 = new system.text.regularexpressions.regex(@"<script[\s\s]+</script *>",system.text.regularexpressions.regexoptions.ignorecase);
system.text.regularexpressions.regex regex2 = new system.text.regularexpressions.regex(@" href *= *[\s\s]*script *:",system.text.regularexpressions.regexoptions.ignorecase);
system.text.regularexpressions.regex regex3 = new system.text.regularexpressions.regex(@" on[\s\s]*=",system.text.regularexpressions.regexoptions.ignorecase);
system.text.regularexpressions.regex regex4 = new system.text.regularexpressions.regex(@"<iframe[\s\s]+</iframe *>",system.text.regularexpressions.regexoptions.ignorecase);
system.text.regularexpressions.regex regex5 = new system.text.regularexpressions.regex(@"<frameset[\s\s]+</frameset *>",system.text.regularexpressions.regexoptions.ignorecase);
html = regex1.replace(html, ""); //過濾<script></script>標(biāo)記
html = regex2.replace(html, ""); //過濾href=javascript: (<a>) 屬性
html = regex3.replace(html, " _disibledevent="); //過濾其它控件的on...事件
html = regex4.replace(html, ""); //過濾iframe
html = regex5.replace(html, ""); //過濾frameset
return html;
}
此方法輸入可能包含腳本的html代碼，返回則就是干凈的代碼了。

posted on 2008-12-15 11:50 小卓閱讀(185) 評論(0) 編輯收藏所屬分類: html and js

新用戶注冊刷新評論列表


只有注冊用戶登錄后才能發(fā)表評論。




網(wǎng)站導(dǎo)航: 博客園 IT新聞 Chat2DB C++博客博問管理
相關(guān)文章: 對比 javascript url編碼 escape(), encodeURL(), encodeURIComponent() 區(qū)別 javascript關(guān)閉窗口（兼容firefox，IE） http協(xié)議狀態(tài)碼的含義及解決方法 Javascript實(shí)現(xiàn)評估用戶輸入密碼的強(qiáng)度常備JS操作神奇的代碼 frameset使用技巧正則表達(dá)式過濾HTML危險(xiǎn)腳本 CSS濾鏡簡要 div的定位問題

table

正則表達(dá)式過濾HTML危險(xiǎn)腳本

My Links

Blog Stats

常用鏈接

留言簿(2)

我參與的團(tuán)隊(duì)

隨筆檔案

文章分類

文章檔案

搜索

最新評論