このコードは本当にXSS証明ですか？

Question

私は、次のPHP XSSフィルタ機能を持っている：

<?php 
function xssfilter($inp){ 
    $inp = html_entity_decode(urldecode($inp)); 
    $inp = preg_replace('/!/','',$inp); 
    if (preg_match('/script|on|xmlns|data/iu',$inp)){ 
     while(preg_match('/script|on|xmlns|data/iu',$inp)){ 
      $inp = preg_replace('/(script)|(on)|(xmlns)|(data)/iu','NO!',$inp); 
     } 
    } 
    return $inp; 
} 
?> 

明らかにあなたはここで、リモートスクリプトをアップロードすることができますが、あなたには、いくつかの方法で正規表現をバイパスすることができた場合、ここで私の質問はありますか？

Answer 1

いいえ、これには少なくとも1つの明らかな欠陥があります。あなたはそうのようなJavaScriptを含むリンクタグを挿入することができます。

<a href="&#x26;&#x23;&#x78;&#x36;&#x41;&#x3B;&#x26;&#x23;&#x78;&#x36;&#x31;&#x3B;&#x26;&#x23;&#x78;&#x37;&#x36;&#x3B;&#x26;&#x23;&#x78;&#x36;&#x31;&#x3B;&#x26;&#x23;&#x78;&#x37;&#x33;&#x3B;&#x26;&#x23;&#x78;&#x36;&#x33;&#x3B;&#x26;&#x23;&#x78;&#x37;&#x32;&#x3B;&#x26;&#x23;&#x78;&#x36;&#x39;&#x3B;&#x26;&#x23;&#x78;&#x37;&#x30;&#x3B;&#x26;&#x23;&#x78;&#x37;&#x34;&#x3B;: alert('XSS');">Innocent Link</a> 

Chromeでこの攻撃を止める唯一のものは、それがXSS保護が組み込まれていた事実です。あなたのXSSの保護はそれを止めません。