如何防止wordpress网站中的XSS漏洞答案

【问题标题】：How to prevent XSS vulnerability in wordpress site如何防止wordpress网站中的XSS漏洞
【发布时间】：2017-07-18 07:19:23
【问题描述】：

我直接在url栏写https://example.com/?trigger=*/</script><script>alert(1)</script>时，提示alert框。

如何在 wordpress 网站中解决这个问题？

我尝试了一些插件，如安全标头、html 净化器等，但没有成功。

如何防止此类漏洞？

【问题讨论】：

trigger-参数在代码中是如何处理的？我在标准的 WP 安装中没有这种行为。为了防止 XSS，您需要在将变量发送到客户端之前对其进行过滤，就像您需要处理任何用户提供的数据（WP 或无 WP）一样。示例：htmlentities().
@MagnusEriksson 触发器未尝试在代码中处理。我只是写在 URL 中，它给出了警报框
嗯。我无法重现这种行为。您是否有任何可能使用错误（未转义）变量的插件？
@MagnusEriksson 没有这种插件
如果您看到警报，则某些代码必须将trigger-参数的原始内容发送给客户端。我已经在我构建的多个不同的 WP 站点（不同版本）上进行了测试，但无法重现它，所以它似乎不在核心中。

【解决方案1】：

此插件对以下标志进行编码，然后从 URL 中删除一些 XSS 标志：

您可以编码或阻止此类实体。您还可以在 URL 中添加不希望被阻止/删除的逗号分隔形式的实体。

【讨论】：

【解决方案2】：

我个人使用Wordfence Security Plug-in 的免费版本。我在我的网站上尝试了您的链接：https://www.majlovesreg.one/?trigger=*/</script><script>alert(1)</script>，但没有创建浏览器警报。

看起来安全插件可以完成这项工作。 :-)

【讨论】：

【解决方案3】：

有很多方法可以防止您网站上的 XSS，您可以阻止某些输入，例如特殊字符（、/、），以及只允许公共用户在提示时输入信息。这是一篇很棒的文章，可以阅读以增加您的知识，因为有时您无法始终找到解决问题的插件:)

p.s 它还列出了更多的预防方法。

【讨论】：