[HaBo]

Eydeet · 06.06.08, 21:08

Hi,
Ich hab eben begonnen, einen kleinen XSS- und SQL-Injection-Scanner zu schreiben, und dabei ist mir eine seltsame Eigenart von Firefox und Konqueror aufgefallen. Opera tut das nicht, mit dem IE habe ich es nicht getestet.

Wenn man nämlich in einem Parameter an den Webserver einen String wie "<script>alert(1)</script> schickt, und dieser das unmaskiert auf die Seite pusht, dann gibt es meist ein Fensterchen, das sollte jedem klar sein. Eigentlich hatte ich gedacht, dass es dieses Fenster nicht gibt, wenn der Server Hochkommata maskiert und den String zwischen zwei Hochkommata schreibt.

Das ist etwas kompliziert zu beschreiben, ich zeig's mal an einem Beispiel:

PHP-Code:

 
<input type="text" value="<?php echo addslashes($_GET['parameter']);?>" />

Die resultierende Ausgabe mit obigem Code sieht dann etwa so aus:

Code:

<input type="text" value="\"<script>alert(1)</script>" />

An dieser Stelle hätte ich gedacht, dass der Code nicht ausgeführt werden würde, Firefox&Konqueror tun es aber...

Ich weiß nicht, ob diese Tatsache bekannt ist, auf jeden Fall finde ich es interessant, immerhin existiert so eine Lücke auf zumindest einer namhaften Seite (den Namen poste ich hier aber nicht

).

Mfg, Eydeet

**Elderan** · 06.06.08, 21:11

Hallo,
warum sollte Firefox das nicht ausführen? Ist zwar kein valider HTML Code, aber Browser schlucken sogut wie alles.
Und addslashes ist, und war schon immer, total sinnlos bzgl. XSS, nur htmlentities() bzw. strip_tags schützt vor XSS.

Anzeige

- Anzeige -

THRALL · 07.06.08, 17:47

Strip_tags kann umgangen werden !
Nur htnlentities helfen, oder noch besser: ne vernünftige validierung.

Xalon · 09.06.08, 15:43

Wie kann strip_tags denn umgangen werden?

mfg,
Xalon

THRALL · 09.06.08, 16:20

naja, ein script muss nicht immer in tags kommen. Wenn ein Parameter in einen Formular verwendet wird, und z.b das value Attribut gesetzt wird. Nun kann man mit einem " das value attribut verlassen und danach einen handler wie onclick="alert(12)" anbringen. Mit ein paar Tricks kann man auch ein Automatsches Ausfuhren erreichen. Ich hatte die technik mal bei barnes & Noble demonstriert. (Näheres in meinem längst aufgegeneben blog godberit.de)

Xalon · 10.06.08, 21:41

Achso das meinst du, das is aber kein umgehen von strip_tags oO

mfg

THRALL · 11.06.08, 09:09

warum nicht? Ich konnte trotz strip_tags beliebigen code ausfuhren.

Xalon · 11.06.08, 13:57

Ja weil du da einfach keine Tags brauchst

Dachte eher an ne Möglichkeit das strip_tags meine tags nicht filtert oä

mfg,
Xalon

Anzeige

- Anzeige -

06.06.08, 21:08	#1 (permalink)
Eydeet Registriert seit: 14.04.06 Likes: 4	Merkwürdige XSS-Begünstigung durch Firefox und Konqueror Anzeige Hi, Ich hab eben begonnen, einen kleinen XSS- und SQL-Injection-Scanner zu schreiben, und dabei ist mir eine seltsame Eigenart von Firefox und Konqueror aufgefallen. Opera tut das nicht, mit dem IE habe ich es nicht getestet. Wenn man nämlich in einem Parameter an den Webserver einen String wie "<script>alert(1)</script> schickt, und dieser das unmaskiert auf die Seite pusht, dann gibt es meist ein Fensterchen, das sollte jedem klar sein. Eigentlich hatte ich gedacht, dass es dieses Fenster nicht gibt, wenn der Server Hochkommata maskiert und den String zwischen zwei Hochkommata schreibt. Das ist etwas kompliziert zu beschreiben, ich zeig's mal an einem Beispiel: PHP-Code: `<input type="text" value="<?php echo addslashes($_GET['parameter']);?>" />` Die resultierende Ausgabe mit obigem Code sieht dann etwa so aus: Code: <input type="text" value="\"<script>alert(1)</script>" /> An dieser Stelle hätte ich gedacht, dass der Code nicht ausgeführt werden würde, Firefox&Konqueror tun es aber... Ich weiß nicht, ob diese Tatsache bekannt ist, auf jeden Fall finde ich es interessant, immerhin existiert so eine Lücke auf zumindest einer namhaften Seite (den Namen poste ich hier aber nicht ). Mfg, Eydeet

Themen-Optionen
Druckbare Version zeigen Jemanden per E-Mail auf dieses Thema hinweisen
Ansicht
Linear-Darstellung Zur Hybrid-Darstellung wechseln Zur Baum-Darstellung wechseln

Ähnliche Themen
Thema	Autor	Forum	Antworten	Letzter Beitrag
Merkwürdige ICMP-Pakete	TheNoOne	Internet Allgemein	4	07.03.07 20:03
merkwürdige seite	a?+b?=c?	Off topic-Zone	16	03.01.06 10:13
flash für konqueror	ghostdog	Linux/UNIX	4	05.09.05 16:53
Merkwürdige Benutzer	Chris	Windows	2	12.09.04 11:17
merkwürdige mail	Indigo	(In)security allgemein	3	07.05.03 18:05

06.06.08, 21:11	#2 (permalink)
Elderan Moderator Registriert seit: 30.03.04 Likes: 14	Hallo, warum sollte Firefox das nicht ausführen? Ist zwar kein valider HTML Code, aber Browser schlucken sogut wie alles. Und addslashes ist, und war schon immer, total sinnlos bzgl. XSS, nur htmlentities() bzw. strip_tags schützt vor XSS.

07.06.08, 17:47	#3 (permalink)
THRALL Registriert seit: 15.01.05 Likes: 0	Strip_tags kann umgangen werden ! Nur htnlentities helfen, oder noch besser: ne vernünftige validierung.

09.06.08, 15:43	#4 (permalink)
Xalon Registriert seit: 23.05.05 Likes: 0	Wie kann strip_tags denn umgangen werden? mfg, Xalon

09.06.08, 16:20	#5 (permalink)
THRALL Registriert seit: 15.01.05 Likes: 0	naja, ein script muss nicht immer in tags kommen. Wenn ein Parameter in einen Formular verwendet wird, und z.b das value Attribut gesetzt wird. Nun kann man mit einem " das value attribut verlassen und danach einen handler wie onclick="alert(12)" anbringen. Mit ein paar Tricks kann man auch ein Automatsches Ausfuhren erreichen. Ich hatte die technik mal bei barnes & Noble demonstriert. (Näheres in meinem längst aufgegeneben blog godberit.de)

10.06.08, 21:41	#6 (permalink)
Xalon Registriert seit: 23.05.05 Likes: 0	Achso das meinst du, das is aber kein umgehen von strip_tags oO mfg

11.06.08, 09:09	#7 (permalink)
THRALL Registriert seit: 15.01.05 Likes: 0	warum nicht? Ich konnte trotz strip_tags beliebigen code ausfuhren.

11.06.08, 13:57	#8 (permalink)
Xalon Registriert seit: 23.05.05 Likes: 0	Ja weil du da einfach keine Tags brauchst Dachte eher an ne Möglichkeit das strip_tags meine tags nicht filtert oä mfg, Xalon

[HaBo]

Merkwürdige XSS-Begünstigung durch Firefox und Konqueror