TL;DR
CodeIgniters的安全类直接操纵全局参数,如$_POST
,它发现file()
和file ()
是一个威胁,所以它对其进行HTML编码。
// config.php from my apps folder is the culprit
$config['global_xss_filtering'] = TRUE;
自己动手(少数人,勇敢者)
在CodeIgniter 2.1.4中,转至system/core/security.php
和线路#430-442:
/*
* Sanitize naughty scripting elements
*
* Similar to above, only instead of looking for
* tags it looks for PHP and JavaScript commands
* that are disallowed. Rather than removing the
* code, it simply converts the parenthesis to entities
* rendering the code un-executable.
*
* For example: eval('some code')
* Becomes: eval('some code')
*/
$str = preg_replace('#(alert|cmd|passthru|eval|exec|expression|system|fopen|fsockopen|file|file_get_contents|readfile|unlink)('s*)'((.*?)')#si', "''1''2(''3)", $str);
观察/问题
基本上,PHP或Apache似乎都认为file ()
或file()
是一种威胁。
有没有人以前经历过这种情况,或者有关于为什么会发生这种情况的文档资源?
有人能在他们的服务器上测试一下,看看他们是否经历过同样的行为吗?我已经在我的开发和测试机器上测试了这一点。我没有机会在生产机器上测试,因为我们的客户连接到了它。
代码
HTML
<input name="q1" type="text" value="Profile (61) (D)">
<input name="q2" type="text" value="(61) (D)">
<input name="q3" type="text" value="file (61)">
<input name="q4" type="text" value="fil (61)">
<input name="q5" type="text" value="file ()">
<input name="q6" type="text" value="file()">
JS-可能不相关
$.ajax({
url: '/test_post'
,async: true
,cache: false
,type: 'POST'
,data: {
q1: $('input[name="q1"]').val(),
q2: $('input[name="q2"]').val(),
q3: $('input[name="q3"]').val(),
q4: $('input[name="q4"]').val(),
q5: $('input[name="q5"]').val(),
q6: $('input[name="q6"]').val()
}
,dataType: 'json'
,success: function(data){
console.log('irrelevant');
}
});
Chrome浏览器中的网络-标题选项卡-表单数据部分
q1: Profile (61) (D)
q2: (61) (D)
q3: file (61)
q4: fil (61)
q5: file ()
q6: file()
PHP-CodeIgniter 2.1.4框架
echo '<pre>'.$_POST['q1'].'</pre>'; // produces: Profile (61) (D)
echo '<pre>'.$_POST['q2'].'</pre>'; // produces: (61) (D)
echo '<pre>'.$_POST['q3'].'</pre>'; // produces: file (61)
echo '<pre>'.$_POST['q4'].'</pre>'; // produces: fil (61)
echo '<pre>'.$_POST['q5'].'</pre>'; // produces: file ()
echo '<pre>'.$_POST['q6'].'</pre>'; // produces: file()
echo '<pre>'.html_entity_decode($_POST['q1']).'</pre>'; // produces: Profile (61) (D)
echo '<pre>'.html_entity_decode($_POST['q2']).'</pre>'; // produces: (61) (D)
echo '<pre>'.html_entity_decode($_POST['q3']).'</pre>'; // produces: file (61)
echo '<pre>'.html_entity_decode($_POST['q4']).'</pre>'; // produces: fil (61)
echo '<pre>'.html_entity_decode($_POST['q5']).'</pre>'; // produces: file ()
echo '<pre>'.html_entity_decode($_POST['q6']).'</pre>'; // produces: file()
// Both of these produce same exact result
echo '<pre>'.print_r($_POST, true).'</pre>';
echo '<pre>'.print_r($this->input->post(), true).'</pre>';
已测试浏览器
- 铬31.0.1650.57米
- IE 8
- FF 25.0
服务器信息
开发
- Widnows 7 x64
- Apache 2.2.17
- PHP 5.3.5
测试
- Windows Server 2008 R2 x64
- Apache 2.2.21
- PHP 5.3.8
根据用户指南,您可以通过设置来消除此问题
$config['global_xss_filtering'] = FALSE;
或者只是去掉这条线。
IMHO,修改$_POST
阵列是设计上的失败,但你做到了。