发布于 由admin

WordPress源码深度解析之：`WordPress`的`XSS`防御：`wp_kses`和`esc_html()`的底层实现。

咳咳，各位观众老爷们，晚上好！我是今晚的主讲人，江湖人称“代码挖掘机”，今天咱们要聊点刺激的，聊聊WordPress的XSS防御利器——wp_kses和esc_html()，以及它们背后那点你可能不知道的“小秘密”。

准备好，咱们发车了！

一、XSS：Web世界的“隐形杀手”

在深入wp_kses和esc_html()之前，咱们先得搞清楚，它们到底要防的是谁？答案就是——XSS (Cross-Site Scripting，跨站脚本攻击)。

XSS就像Web世界里的“隐形杀手”，它允许攻击者将恶意脚本注入到受信任的网站中，当用户浏览这些被注入恶意脚本的页面时，攻击者的脚本就会在用户的浏览器上执行，从而窃取用户的cookie、会话信息，甚至篡改页面内容，简直是防不胜防！

想象一下，你辛辛苦苦建立的网站，突然被黑客贴满了“牛皮癣”广告，或者更糟糕，用户的账户信息被盗，这滋味，酸爽！

XSS攻击主要分为三种类型：

  1. 存储型 XSS (Stored XSS)：恶意脚本存储在服务器上（比如数据库），每次用户访问相关页面，恶意脚本都会被执行。

  2. 反射型 XSS (Reflected XSS)：恶意脚本作为URL参数或表单数据发送给服务器，服务器未经处理直接返回给用户，从而触发攻击。

  3. DOM 型 XSS (DOM-based XSS)：攻击者通过修改页面的DOM结构来注入恶意脚本，完全在客户端执行，不涉及服务器。

为了应对这些“隐形杀手”，WordPress祭出了wp_kses和esc_html()这两大神器。

二、esc_html()：简单粗暴的“转义大法”

esc_html()，顾名思义，它的作用就是对HTML实体进行转义。简单来说，就是把一些有特殊含义的字符，转换成它们对应的HTML实体，防止浏览器把它们当成HTML标签来解析。

举个例子：

  • < 会被转义成 &lt;
  • > 会被转义成 &gt;
  • " 会被转义成 &quot;
  • ' 会被转义成 '
  • & 会被转义成 &amp;

这样一来，即使攻击者在输入框里输入了<script>alert('XSS')</script>，经过esc_html()处理后，也会变成&lt;script&gt;alert('XSS')&lt;/script&gt;，浏览器只会把它当成普通的文本来显示，不会执行其中的JavaScript代码。

让我们看看esc_html()的源码（简化版）：

function esc_html( $text ) {
    $safe_text = wp_check_invalid_utf8( $text );
    $safe_text = _wp_specialchars( $safe_text, ENT_QUOTES, 'UTF-8', true );
    return apply_filters( 'esc_html', $safe_text, $text );
}

function _wp_specialchars( $string, $quote_style = ENT_NOQUOTES, $charset = false, $double_encode = false ) {
    $string = (string) $string;

    if ( false === $double_encode ) {
        // Convert double quotes to entities when needed.
        $string = str_replace( array( '&', '"', '<', '>' ), array( '&amp;', '&quot;', '&lt;', '&gt;' ), $string );
    } else {
        // Convert double quotes to entities when needed.
        $string = str_replace( array( '&', '<', '>' ), array( '&amp;', '&lt;', '&gt;' ), $string );
    }

    if ( ( $quote_style & ENT_QUOTES ) || ENT_QUOTES === $quote_style ) {
        $string = str_replace( ''', ''', $string );
    }

    /**
     * Convert entities to numeric representation.
     */
    $string = preg_replace( '/&(#*w+);/ie', "strtolower('\1')", $string );
    $string = str_replace( array( '&#x', '&#X' ), array( '&#x', '&#x' ), $string );

    return $string;
}

代码分析：

  1. wp_check_invalid_utf8()：检查字符串是否为有效的UTF-8编码，防止出现乱码。
  2. _wp_specialchars()：核心转义函数，将&、"、<、>等字符转换成对应的HTML实体。
  3. apply_filters( 'esc_html', $safe_text, $text )：应用esc_html过滤器，允许开发者自定义转义规则。

esc_html()的优点是简单易用，性能好，适用于对纯文本内容进行转义，比如文章标题、评论内容等。但它的缺点也很明显，就是过于粗暴，会把所有的HTML标签都转义掉，导致无法显示任何HTML格式。

三、wp_kses()：精挑细选的“白名单策略”

wp_kses()，可就厉害了，它不是简单地转义所有的HTML标签，而是采用了一种更加灵活的“白名单策略”。也就是说，它只允许指定的HTML标签和属性通过，其他的统统过滤掉。

这就像一个严格的保安，只允许持有通行证的人进入，没有通行证的，一律拦在门外。

wp_kses()的核心思想是：与其费尽心思去识别和过滤所有的恶意代码，不如直接定义一个“安全列表”，只允许列表中的HTML标签和属性通过。

让我们看看wp_kses()的用法：

$allowed_html = array(
    'a' => array(
        'href' => array(),
        'title' => array(),
    ),
    'abbr' => array(
        'title' => array(),
    ),
    'acronym' => array(
        'title' => array(),
    ),
    'b' => array(),
    'blockquote' => array(
        'cite' => array(),
    ),
    'br' => array(),
    'cite' => array(),
    'code' => array(),
    'del' => array(
        'datetime' => array(),
    ),
    'em' => array(),
    'i' => array(),
    'q' => array(
        'cite' => array(),
    ),
    'strike' => array(),
    'strong' => array(),
);

$content = '<p>This is a <strong>test</strong> with <a href="http://example.com">link</a> and <script>alert("XSS");</script></p>';

$safe_content = wp_kses( $content, $allowed_html );

echo $safe_content; // 输出：<p>This is a <strong>test</strong> with <a href="http://example.com">link</a></p>

代码分析：

  1. $allowed_html：定义了一个允许的HTML标签和属性的数组，只有在这个数组中定义的标签和属性才能通过wp_kses()的过滤。
  2. wp_kses( $content, $allowed_html )：使用wp_kses()函数对$content进行过滤，只保留$allowed_html中定义的标签和属性。

可以看到，wp_kses()把<script>alert("XSS");</script>标签直接过滤掉了，保证了内容的安全性。

接下来，咱们深入wp_kses()的源码，看看它到底是怎么实现的（简化版）：

function wp_kses( $string, $allowed_html, $allowed_protocols = null ) {
    global $wp_allowed_protocols;

    $string = wp_kses_no_null( $string );
    $string = wp_kses_normalize_entities( $string );

    if ( null === $allowed_protocols ) {
        $allowed_protocols = $wp_allowed_protocols;
    }

    $string = wp_kses_hook( $string, $allowed_html, $allowed_protocols );

    return $string;
}

function wp_kses_hook( $string, $allowed_html, $allowed_protocols ) {
    if ( ! is_array( $allowed_html ) ) {
        $allowed_html = wp_kses_allowed_html( $allowed_html );
    }

    $string = wp_kses_split( $string, $allowed_html, $allowed_protocols );
    $string = implode( '', $string );
    return $string;
}

function wp_kses_split( $string, $allowed_html, $allowed_protocols ) {
    $string = preg_replace( '%(?<!%)%%', '%%', $string );
    $string = preg_split( '/(<[^<>]+>)/', $string, -1, PREG_SPLIT_DELIM_CAPTURE );

    $output = array();
    foreach ( $string as $i => $s ) {
        if ( '' === $s ) {
            continue;
        }

        if ( 0 === strpos( $s, '<' ) ) {
            if ( 1 !== preg_match( '%^<s*(/s*)?([a-zA-Z0-9]+)([^>]*?)>?$%i', $s, $matches ) ) {
                continue;
            }

            $slash = trim( $matches[1] );
            $elem  = $matches[2];
            $attrlist = $matches[3];

            if ( ! isset( $allowed_html[ strtolower( $elem ) ] ) ) {
                continue;
            }

            if ( '' === $slash ) {
                $output[] = wp_kses_attr( $s, $allowed_html, $allowed_protocols );
            } else {
                $output[] = $s;
            }
        } else {
            $output[] = wp_kses_data( $s, $allowed_html, $allowed_protocols );
        }
    }

    return $output;
}

function wp_kses_attr( $element, $allowed_html, $allowed_protocols ) {
  // 核心逻辑，用于过滤HTML标签的属性
  // 省略具体实现，包括提取属性、验证属性值、过滤非法属性等
  // ...
  return $element;
}

function wp_kses_data( $data, $allowed_html, $allowed_protocols ) {
  // 对非HTML标签的内容进行转义
  // 省略具体实现，包括转义特殊字符、防止XSS攻击等
  // ...
  return $data;
}

代码分析：

  1. wp_kses_no_null()：移除字符串中的NULL字符，防止某些类型的攻击。
  2. wp_kses_normalize_entities()：标准化HTML实体，确保一致性。
  3. wp_kses_split()：使用正则表达式将字符串分割成HTML标签和文本片段。
  4. wp_kses_attr()：对HTML标签的属性进行过滤，只允许$allowed_html中定义的属性通过。
  5. wp_kses_data()：对文本片段进行转义，防止XSS攻击。

wp_kses()的核心在于wp_kses_split()函数，它利用正则表达式将HTML字符串分割成标签和文本，然后分别进行处理。对于标签，会检查是否在$allowed_html中定义，如果在，则进一步过滤属性；对于文本，则进行转义。

四、wp_kses()的白名单配置：$allowed_html

$allowed_html是wp_kses()的核心配置，它决定了哪些HTML标签和属性可以被允许通过。$allowed_html是一个多维数组，第一层是HTML标签名，第二层是属性名。

例如：

$allowed_html = array(
    'a' => array(
        'href' => array(),
        'title' => array(),
        'target' => array('_blank'), //只允许 target 属性的值为 '_blank'
    ),
    'img' => array(
        'src' => array(),
        'alt' => array(),
        'width' => array(),
        'height' => array(),
    ),
    'p' => array(
        'class' => array('my-class', 'another-class'),  // 只允许 class 属性的值为 'my-class' 或 'another-class'
    )
);

这个例子中，只允许<a>标签的href和title属性，以及<img>标签的src、alt、width和height属性通过。 对于<a>标签的target属性，只允许值为_blank通过。 对于<p>标签的class属性，只允许值为my-class 或 another-class 通过。

需要注意的是，$allowed_html的配置非常重要，它直接关系到网站的安全性。如果配置不当，可能会导致XSS漏洞。因此，在配置$allowed_html时，一定要仔细斟酌，只允许必要的HTML标签和属性通过。

五、wp_kses()的协议过滤：$allowed_protocols

除了HTML标签和属性，URL协议也是XSS攻击的一个重要入口。例如，攻击者可以使用javascript:协议来执行恶意脚本。

为了防止这种情况，wp_kses()还提供了一个协议过滤机制，通过$allowed_protocols参数来指定允许的URL协议。

默认情况下，WordPress允许的URL协议包括http、https、ftp、mailto、news、irc、gopher、nntp、telnet、mms、rtsp、svn。

你可以通过修改$wp_allowed_protocols全局变量来修改允许的URL协议列表：

global $wp_allowed_protocols;
$wp_allowed_protocols = array( 'http', 'https', 'mailto' ); // 只允许 http、https 和 mailto 协议

六、wp_kses() vs esc_html()：如何选择？

现在，我们已经了解了wp_kses()和esc_html()的原理和用法，那么在实际开发中，我们应该如何选择呢？

特性 esc_html() wp_kses()
安全策略 转义所有HTML实体 白名单策略，只允许指定的HTML标签和属性通过
功能 防止XSS攻击，保留纯文本内容 防止XSS攻击，允许部分HTML格式
适用场景 纯文本内容的输出，如文章标题、评论内容 允许部分HTML格式的内容输出，如文章内容
灵活性 低 高
性能 高 相对较低

总的来说，esc_html()适用于对纯文本内容进行转义，而wp_kses()适用于允许部分HTML格式的内容输出。

七、最佳实践：XSS防御的“组合拳”

仅仅依靠wp_kses()和esc_html()是不够的，XSS防御需要一套完整的策略，包括：

  1. 输入验证 (Input Validation)：对用户输入的数据进行严格的验证，确保符合预期的格式和类型。

  2. 输出编码 (Output Encoding)：对输出到页面的数据进行适当的编码，防止XSS攻击。

  3. 内容安全策略 (CSP)：使用CSP来限制浏览器可以加载的资源，防止恶意脚本的执行。

  4. HTTPOnly Cookie：设置HTTPOnly Cookie，防止JavaScript脚本访问Cookie，降低XSS攻击的风险。

  5. 定期安全扫描 (Security Scanning)：定期对网站进行安全扫描，及时发现和修复漏洞。

XSS防御是一场持久战，需要我们时刻保持警惕，不断学习和更新安全知识，才能有效地保护我们的网站和用户。

八、总结

今天，我们深入探讨了WordPress的XSS防御利器——wp_kses和esc_html()的底层实现，了解了它们的工作原理、用法和适用场景。希望通过今天的讲解，能够帮助大家更好地理解和应用这两个函数，提高网站的安全性。

记住，安全无小事，防患于未然！

好了，今天的讲座就到这里，感谢各位观众老爷的收听！下次再见！

发表回复

您的邮箱地址不会被公开。 必填项已用 * 标注