两个非常隐蔽的 bug 导致的 Python xss filter 绕过

[virusdefender]

最近在网上找了一个Python实现的xss filter，然后通过测试发现有绕过的情况。究其原因，是忽略了一个比较隐蔽而且经常被误用的地方。然后自己去修改，去打补丁，发现还是有问题，又牵扯出了python的另外两个知识点，反正我觉得自己学到了很多，在这里分享一下，有什么问题希望各位大神提出来。

地址： http://www.virusdefender.net/index.php/archives/45/

[binux]

这样防xss思路就是错的

[virusdefender]

@binux 为什么啊？

[binux]

@virusdefender 哦，我明白你的目的了。

创建模式要比删除模式好。创建一个新对象，提取需要的信息，把信息赋值给新对象。

[feilaoda]

lxml的clean html即可

[gamexg]

没做过，难道像 ChanneW 说的，全部无效，然后手工重新生成有效的html代码？

[Bakemono]

今天没带macbook回宿舍…明天我帮lz bypass一下xss filter 吧:)

[nooper]

应当尽量避免使用del，你的代码可以更简化。还是有点复杂。

[virusdefender]

@binux
@nooper 其实这也是别人写的 我拿过来测试的时候发现了几个问题

[virusdefender]

@Bakemono 好啊 好啊 这几个问题也是我在fuzz的时候发现的啊

[ryd994]

典型的被语言惯坏了，你到C++里绝对会被打死～
正确做法难道不是一边检查一边加元素，检查不通过就不加么

[ryd994]

检查，坚持成功就加到新list里

[msg7086]

从Rubyer的角度来看这个似乎应该用#select或者#delete加个block解决。