我正在使用RIPS扫描我的服务器中的文件夹。报告出来了一些漏洞,其中一些漏洞是"用户输入到达敏感位置"。报告的行是定义变量的行。你可以在这里看到报告。有人知道我该如何解决这个问题吗?这不应该是正常的,为什么会被报告为漏洞?
get_locale()
接受HTTP请求的Accept-Language
头信息并且未经过消毒处理,那么可能会出现问题。您可以在此处获取所有敏感汇总的详细信息:
http://awap.sourceforge.net/support.html#sanitization
有哪些针对PHP语言的敏感漏洞,并如何减轻这些漏洞。
您可以在此处阅读相关研究论文:
http://awap.sourceforge.net/papers/wap_dsn2016.pdf
http://awap.sourceforge.net/papers/WAP_IEEE_TR_Mar2016.pdf
考虑以下情况,您有如下代码:
$name = $city = $email = $message = "";
RIPS 报告此代码为用户输入到达敏感汇聚点。
要解决这个问题,您可以应用以下技巧:
$name=test_input("");
$city=test_input("");
$email=test_input("");
$message=test_input("");
function test_input($data) {
$data = trim($data);
$data = stripcslashes($data);
$data = htmlspecialchars($data);
$data = htmlentities($data, ENT_QUOTES, "utf-8");
return $data;
}