0

Buenas,

Sé que para evitar inyección de código recomiendan usar htmlspecialchars() sin embargo entiendo que en mi caso no me sirve, debido a que estoy trabajando con un foro donde etiquetas como , ...están permitidas.

Os dejo el código para que veáis cómo lo hago (aunque sé que al forma no será la mejor):

$texto = trim($_POST['texto_hilo']);
$texto = para_vista_previa($texto);

function para_vista_previa($texto_a_modificiar){
    $texto_a_modificiar = str_replace("[b]","<b>",$texto_a_modificiar);
    $texto_a_modificiar = str_replace("[/b]","</b>",$texto_a_modificiar);
    $texto_a_modificiar = str_replace("[i]","<i>",$texto_a_modificiar);
    $texto_a_modificiar = str_replace("[/i]","</i>",$texto_a_modificiar);
    $texto_a_modificiar = str_replace("[u]","<u>",$texto_a_modificiar);
    $texto_a_modificiar = str_replace("[/u]","</u>",$texto_a_modificiar);
    $texto_a_modificiar = str_replace("[quote]","<blockquote>",$texto_a_modificiar);
    $texto_a_modificiar = str_replace("[/quote]","</blockquote>",$texto_a_modificiar);
    $texto_a_modificiar = str_replace("[img","<img",$texto_a_modificiar);
    $texto_a_modificiar = str_replace("[center]","<center>",$texto_a_modificiar);
    $texto_a_modificiar = str_replace("[/center]","</center>",$texto_a_modificiar);
    $texto_a_modificiar = str_replace("[a class=\"mencion\"","<a class=\"mencion\"",$texto_a_modificiar);
    $texto_a_modificiar = str_replace("rel=\"nofollow\"]","rel=\"nofollow\">",$texto_a_modificiar);
    $texto_a_modificiar = str_replace("[/a]","</a>",$texto_a_modificiar);
    $texto_a_modificiar = str_replace("[a class=\"enlace_foro\"","<i class=\"fa fa-link fa-fw\"></i><a class=\"enlace_foro\"",$texto_a_modificiar);
    $texto_a_modificiar = str_replace("[cite]","<cite>",$texto_a_modificiar);
    $texto_a_modificiar = str_replace("[/cite]","</cite>",$texto_a_modificiar);
    $texto_a_modificiar = str_replace("[div]","<div>",$texto_a_modificiar);
    $texto_a_modificiar = str_replace("[/div]","</div>",$texto_a_modificiar);
    $texto_a_modificiar = str_replace("]",">",$texto_a_modificiar);

    return $texto_a_modificiar;
}

El problema es que soy totalmente vulnerable a etiquetas <script>. Sabría crear una función para que detecte cuando en el texto hay un <script> y o bien reemplazarlo por ciertos caracteres o bien avisar al usuario que está intentando inyectar código y que los quite.

No sé si puede haber alguna otra etiqueta peligrosa en este sentido, como veis permito muchas, creo que las básicas para un foro, y tenía pensado permitir <iframe> pero no sé si también puede ser un problema de seguridad.

He pensado que quizás la mejor opción sea el uso de strip_tags, usándolo de la siguiente forma:

$texto = trim($_POST['texto_hilo']);
$texto = para_vista_previa($texto);
$texto = strip_tags($texto, '<b> <i> <u> <quote> <img> <center> <cite> <a> <div> <a>');

¿Alguna recomendación?

1
  • Con inyeccion te refieres a inyeccion sql o ataque xss? el 21 abr. 2017 a las 14:06

2 respuestas 2

0

Solo deja pasar toda la información en la variable, luego ponle la función que yo siempre uso para esto que es addslashes();. esto le agrega un \ a cada caractér especial que encuentra.

Un \ lo que hace es que el siguiente caractér que encuentra lo escapa y lo pone textual.

Ej:

texto original <ul>

texto después de pasarlo por la función \<ul\>

0

PHP tiene una función para eliminar etiquetas o permitir ciertas etiquetas strip_tags, revisa la documentación

Un ejemplo básico:

<?php
$text = '<p> Parrafo normal</p>';
$text.= '<!-- Comment -->';
$text.= '<a href="#fragment"> Esto es un link</a>';
$text.= '<script type="text/javascript"> Esto es un script</script>';

// no permite tag
echo strip_tags($text);
// Parrafo normal Esto es un link Esto es un script

// Permite <p> y <a>
echo strip_tags($text, '<p><a>');
// <p>Parrafo normal</p><a href="#fragment">esto es un link</a>esto es un script
?>

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.