cross site scripting

[willbend]

Driver å kødder med gjesteboken min nå. Hvis jeg skriver inn dette:

<img src="javascript:alert('lol')">

Blir det på en måte inkludert som javascript. Men er det noen annen måte å gjøre dette på enn å bruke <img> taggen ? Jeg har selfølgelig ingen hemmelige planer om å "ødelegge" gjestebøker. Men vil bare vite om det fins flere sånne triks som jeg må beskytte meg for.

[Dahl]

Og hva har dette med programvare om sikkerhet å gjøre?

Posten din skulle vært postet under Web-design, HTML og CSS eller under PHP hvis du er på jakt etter et skript i PHP som sikrer deg mot slik misbruk.

Rapportert.

[Jankee]

Flyttes til javascript sidan det er det som trådstarter spør delvis om

Hadde eg vist kva språk gjesteboka var skriven i hadde det vore lettare å plassert tråden rett.

[DevN]

Driver å kødder med gjesteboken min nå. Hvis jeg skriver inn dette:

<img src="javascript:alert('lol')">

Blir det på en måte inkludert som javascript. Men er det noen annen måte å gjøre dette på enn å bruke <img> taggen ? Jeg har selfølgelig ingen hemmelige planer om å "ødelegge" gjestebøker. Men vil bare vite om det fins flere sånne triks som jeg må beskytte meg for.

Finnes nok en del triks, ja.

Men du kan jo "deaktivere" HTML, f.eks. erstatte alle "gapetegnene" ("<" og ">") med "<" og ">". Så vises dette som ren tekst.

 

Du kan jo så herme etter dette forumet og bruke BB-kode, eller eventuelt tillate bestemte HTML-tagger.

[tomahg]

Du kan jo så herme etter dette forumet og bruke BB-kode, eller eventuelt tillate bestemte HTML-tagger.

Selv om man tillater tilsynelatene uskyldige HTML-tagger som <i> og <b> kan du allikevel bli plaget av javascript.

 

F.eks

<b onmouseover="javascript:alert('lol')">lol</b>

[DevN]

Er fullt klar over det.

 

Men jeg tenker at han/hun kun tillater "<b></b>" og "<i></i>" f.eks. Altså, taggene kan ikke ha noen attributer, for da er den ugyldig.

[willbend]

Gjesteboka er skrevet i php. Har brukt htmlspecialchars() for å beskytte meg. Men har hørt det går an å komme seg forbi dette "filteret". Noen som vet hvordan. Send PM hvis dere ikke vil skrive den her i forumet.