【甲方安全建设】富文本编辑器XSS漏洞攻击及防御详析
原创文章，禁止转载。
文章目录
-
- 调研背景
- 搭建TinyMCE富文本编辑器靶场
- 富文本编辑器前端过滤
- 富文本编辑器后端攻击
- 后端弱过滤
-
- 弱过滤1
- 弱过滤2
- 后端有效过滤
- 从甲方的视角看动态安全
调研背景
随着Web 2.0技术的普及，富文本编辑器在各种Web应用中得到了广泛应用，用户、网站管理员等可以通过富文本编辑器在网页中添加并展示格式化文本、图片、视频等丰富内容。然而，由于富文本内容本质上涉及客户端输入，并且可能包含HTML、JavaScript等代码，处理不当时容易引发跨站脚本攻击（XSS）。富文本XSS漏洞使得攻击者可以在受害者的浏览器中执行恶意代码，窃取用户敏感信息、进行身份盗用或操纵用户数据。
对于企业而言，尤其是在提供内容生成或互动功能的应用中，富文本XSS是一个重大威胁。因此，如何在不影响业务需求（如允许发送Javascript脚本代码）的情况下，确保富文本的安全性和友好性成为重要的研究课题。
本次调研将深入研究富文本XSS的漏洞成因与防御机制，并结合真实案例与实践经验探究如何达到友好性与安全性的统一。
搭建TinyMCE富文本编辑器靶场
由于TinyMCE富文本编辑器广泛应用于各种Web应用和网站中，因此本次调研搭建靶场使用到的工具、语言有：PHPStudy+PHP+MySQL+TinyMCE富文本编辑器。
主要实现功能如下