무덤 악센트 난독 XSS 공격, 나는 가능한 XSS 공격을 확인

Question

내가 지금

function clean($str) { 
$str = htmlspecialchars(strip_tags(trim(mb_convert_encoding($str, 'UTF-8', 'UTF-8'))), ENT_QUOTES, 'UTF-8'); 
return $str; 
} 

라는 문자열을 청소 여기 내 기능을 가지고 iframe을에서 탈출 할 수없는, 그리고이 하나 <img src"$str">하지만 경우에 확인했다 나는 다음과 같은

$attr = clean("javascript:alert(\"RSnake says, 'XSS'\")"); 
$str = "<iframe src=\"$attr\">"; 

그러나 $str = "<img src=\"$attr\">"; 것이 안전하다고를 사용하여 JS가 실행 된 <iframe src"$str"> 에 요소를 교환.

이 취약점을 어떻게 처리합니까?

나는 다음과 같은 시도이

function clean($str) { 
$str = htmlspecialchars(strip_tags(trim(mb_convert_encoding($str, 'UTF-8', 'UTF-8'))), ENT_QUOTES, 'UTF-8'); 
$str = htmlentities($str, ENT_QUOTES); 
return $str; 
} 

Answer 1

같았다 기능에 대한 여분의 부분을 추가했다 무슨 짓을 :

<?php 

function clean($url) { 
    if (!filter_var($url, FILTER_VALIDATE_URL)) 
     return false; 
    return $url; 
} 
$attr = clean("javascript:alert(\"RSnake says, 'XSS'\")"); 
$str = "<iframe src=\"$attr\">"; 
// $str = "<img src=\"$attr\">"; 

echo($str); 

을 그것은 것이다 그것은 URL과 경우에 인을 기준으로 문자열을 소독 그렇지 않다면, 출력 할 것입니다 false