security - 来自图像的跨站点脚本

Question

我的站点上有一个富文本编辑器，我试图防止 XSS 攻击。我想我已经处理了几乎所有的事情，但我仍然不确定如何处理图像。现在我正在使用以下正则表达式来验证图像 URL，我假设它会阻止内联 javascript XSS 攻击:

"https?://[-A-Za-z0-9+&@#/%?=~_|!:,.;]+"

我不确定的是这会让我受到来自远程图像的 XSS 攻击的开放程度。链接到外部图像是否构成严重的安全威胁？

我唯一能想到的是，输入的 URL 引用了一个资源，该资源返回“ text/javascript”作为其 MIME 类型而不是某种图像，然后执行该 javascript。

那可能吗？我还应该考虑其他任何安全威胁吗？

Answer 1

另一件需要担心的事情是，您可以轻松地将 PHP 代码嵌入到图像中并在大多数情况下上传。攻击唯一能做的就是找到一种方法来包含图像。 (只有 PHP 代码会被执行，其余的只是回显)。检查 MIME 类型不会帮助您解决此问题，因为攻击者可以轻松上传带有正确前几个字节的图像，然后是任意 PHP 代码。 (对于 HTML 和 Javascript 代码也是如此)。