http://nickdijkstra.nl
Pagina: « vorige 1 2 3 volgende »
SilverWolf NL op 01/09/2010 16:50:42:
Waarom heeft nog niemand iets gezegd over XSS?
http://www.nickdijkstra.nl/verkeerd.php?text=%3Cscript%3Ealert%28%27LOL%20XSS%27%29;%3C/script%3E
http://www.nickdijkstra.nl/verkeerd.php?text=%3Cscript%3Ealert%28%27LOL%20XSS%27%29;%3C/script%3E
http://www.nickdijkstra.nl/verkeerd.php?text=script>;Zbody onLoad=”document.write(‘<script>window.location = String.fromCharCode(104, 116, 116, 112, 58, 47, 47, 119, 119, 119, 46, 105, 110, 115, 101, 99, 117, 114, 105, 116, 121, 46, 114, 111, 47);</script>’);”;
die is ernstiger.
Gewijzigd op 01/09/2010 20:54:45 door www JdeRuijterNL
Nick Dijkstra op 01/09/2010 20:55:42:
wat is dat?
Als je die hele text in je browser plakt dan wordt je doorverwezen naar een andere website.
Kortom, filter op userinput.
Zo zorg je ervoor dat je geen gaten openlaat voor inbrekers/scriptkiddies.
<br /> <b>Notice</b>: Undefined index: email in <b>/public/sites/www.nickdijkstra.nl/login.php</b> on line <b>11</b><br />
Dit kan je zo veranderen:
Code (php)
1
2
3
4
5
6
7
8
2
3
4
5
6
7
8
<?php
echo '<input type="text" maxlenght="40" value="';
if(isset($email))
{
echo addslashes(htmlspecialchars($email));
}
echo '">';
?>
echo '<input type="text" maxlenght="40" value="';
if(isset($email))
{
echo addslashes(htmlspecialchars($email));
}
echo '">';
?>
Ik gebruik FireFox
Gewijzigd op 02/09/2010 21:35:10 door Carlo boy
Nick Dijkstra op 02/09/2010 21:33:05:
hey carloboy, ik heb het niet?, welke browser gebruik je??
Zijn error heeft niks te zien met de client die hij gebruikt, puur server sided.
Nick Dijkstra op 02/09/2010 21:34:39:
Wie weet er hoe je history.go(-1) kan gebruiken maar dat het ook werkt in firefox??
Ik probeer javascript zo veel mogelijk te vermijden, hier kan je perfect referer link met php voor gebruiken.
Code (php)
1
2
3
2
3
<?php
$_SERVER['HTTP_REFERER']
?>
$_SERVER['HTTP_REFERER']
?>
kan je zien waarvan de gebruiker vandaan komt. Dit is niet altijd veilig. Maar je kan dit bijvoorbeeld in een link zetten:
Code (php)
1
2
3
2
3
<?php
echo '<a href="'.htmlentities($_SERVER['HTTP_REFERER'], ENT_QUOTES).'" > Ga terug </a>';
?>
echo '<a href="'.htmlentities($_SERVER['HTTP_REFERER'], ENT_QUOTES).'" > Ga terug </a>';
?>
Als ik dit locaal test werkt het niet, vertrouw er dus niet te veel op..
ps. $_SERVER['HTTP_REFERER'] is onveilig
Gewijzigd op 02/09/2010 21:51:16 door Carlo boy
Carlo boy op 02/09/2010 21:47:21:
met
kan je zien waarvan de gebruiker vandaan komt. Dit is niet altijd veilig. Maar je kan dit bijvoorbeeld in een link zetten:
Als ik dit locaal test werkt het niet, vertrouw er dus niet te veel op..
ps. $_SERVER['HTTP_REFERER'] is onveilig
Code (php)
1
2
3
2
3
<?php
$_SERVER['HTTP_REFERER']
?>
$_SERVER['HTTP_REFERER']
?>
kan je zien waarvan de gebruiker vandaan komt. Dit is niet altijd veilig. Maar je kan dit bijvoorbeeld in een link zetten:
Code (php)
1
2
3
2
3
<?php
echo '<a href="'.addslashes(htmlspecialchars($_SERVER['HTTP_REFERER'])).'" > Ga terug </a>';
?>
echo '<a href="'.addslashes(htmlspecialchars($_SERVER['HTTP_REFERER'])).'" > Ga terug </a>';
?>
Als ik dit locaal test werkt het niet, vertrouw er dus niet te veel op..
ps. $_SERVER['HTTP_REFERER'] is onveilig
Waarom is dat onveilig, *I need to see a working example*?
Edit; Als ik google btw zie ik toch niet direct veel relevante resultaten hoor?
Gewijzigd op 02/09/2010 21:51:00 door Wouter De Schuyter
Paradox - op 02/09/2010 21:50:02:
Waarom is dat onveilig, *I need to see a working example*?
Edit; Als ik google btw zie ik toch niet direct veel relevante resultaten hoor?
Carlo boy op 02/09/2010 21:47:21:
met
kan je zien waarvan de gebruiker vandaan komt. Dit is niet altijd veilig. Maar je kan dit bijvoorbeeld in een link zetten:
Als ik dit locaal test werkt het niet, vertrouw er dus niet te veel op..
ps. $_SERVER['HTTP_REFERER'] is onveilig
Code (php)
1
2
3
2
3
<?php
$_SERVER['HTTP_REFERER']
?>
$_SERVER['HTTP_REFERER']
?>
kan je zien waarvan de gebruiker vandaan komt. Dit is niet altijd veilig. Maar je kan dit bijvoorbeeld in een link zetten:
Code (php)
1
2
3
2
3
<?php
echo '<a href="'.addslashes(htmlspecialchars($_SERVER['HTTP_REFERER'])).'" > Ga terug </a>';
?>
echo '<a href="'.addslashes(htmlspecialchars($_SERVER['HTTP_REFERER'])).'" > Ga terug </a>';
?>
Als ik dit locaal test werkt het niet, vertrouw er dus niet te veel op..
ps. $_SERVER['HTTP_REFERER'] is onveilig
Waarom is dat onveilig, *I need to see a working example*?
Edit; Als ik google btw zie ik toch niet direct veel relevante resultaten hoor?
Het is onveilig omdat de gebruiker deze 'variable' kan worden aangepast. Ik typ bijv. dit in mijn aderes balk: "></a><script type="text/javascript">
window.alert("xss");
</script><a href="http://www.example.nl/hack">
En ik ga naar een website waar $_SERVER['HTTP_REFERER'] wordt opgeroepen:
dan wordt de link zo:
<a href=""></a><script type="text/javascript">
window.alert("xss");
</script><a href="http://www.example.nl/hack"> Ga terug </a>
Daarom is $_SERVER['HTTP_REFERER'] onveilig.
Verbeter me als ik het fout heb
Gewijzigd op 02/09/2010 22:00:13 door Carlo boy
Carlo boy op 02/09/2010 21:56:44:
Het is onveilig omdat de gebruiker deze 'variable' kan worden aangepast. Ik typ bijv. dit in mijn aderes balk: "></a><script type="text/javascript">
window.alert("xss");
</script><a href="http://www.example.nl/hack">
En ik ga naar een website waar $_SERVER['HTTP_REFERER'] wordt opgeroepen:
dan wordt de link zo:
<a href=""></a><script type="text/javascript">
window.alert("xss");
</script><a href="http://www.example.nl/hack"> Ga terug </a>
Daarom is $_SERVER['HTTP_REFERER'] onveilig.
Verbeter me als ik het fout heb
Paradox - op 02/09/2010 21:50:02:
Waarom is dat onveilig, *I need to see a working example*?
Edit; Als ik google btw zie ik toch niet direct veel relevante resultaten hoor?
Carlo boy op 02/09/2010 21:47:21:
met
kan je zien waarvan de gebruiker vandaan komt. Dit is niet altijd veilig. Maar je kan dit bijvoorbeeld in een link zetten:
Als ik dit locaal test werkt het niet, vertrouw er dus niet te veel op..
ps. $_SERVER['HTTP_REFERER'] is onveilig
Code (php)
1
2
3
2
3
<?php
$_SERVER['HTTP_REFERER']
?>
$_SERVER['HTTP_REFERER']
?>
kan je zien waarvan de gebruiker vandaan komt. Dit is niet altijd veilig. Maar je kan dit bijvoorbeeld in een link zetten:
Code (php)
1
2
3
2
3
<?php
echo '<a href="'.addslashes(htmlspecialchars($_SERVER['HTTP_REFERER'])).'" > Ga terug </a>';
?>
echo '<a href="'.addslashes(htmlspecialchars($_SERVER['HTTP_REFERER'])).'" > Ga terug </a>';
?>
Als ik dit locaal test werkt het niet, vertrouw er dus niet te veel op..
ps. $_SERVER['HTTP_REFERER'] is onveilig
Waarom is dat onveilig, *I need to see a working example*?
Edit; Als ik google btw zie ik toch niet direct veel relevante resultaten hoor?
Het is onveilig omdat de gebruiker deze 'variable' kan worden aangepast. Ik typ bijv. dit in mijn aderes balk: "></a><script type="text/javascript">
window.alert("xss");
</script><a href="http://www.example.nl/hack">
En ik ga naar een website waar $_SERVER['HTTP_REFERER'] wordt opgeroepen:
dan wordt de link zo:
<a href=""></a><script type="text/javascript">
window.alert("xss");
</script><a href="http://www.example.nl/hack"> Ga terug </a>
Daarom is $_SERVER['HTTP_REFERER'] onveilig.
Verbeter me als ik het fout heb
correctemundo
correctemundo??
Carlo boy op 02/09/2010 21:56:44:
Het is onveilig omdat de gebruiker deze 'variable' kan worden aangepast. Ik typ bijv. dit in mijn aderes balk: "></a><script type="text/javascript">
window.alert("xss");
</script><a href="http://www.example.nl/hack">
En ik ga naar een website waar $_SERVER['HTTP_REFERER'] wordt opgeroepen:
dan wordt de link zo:
<a href=""></a><script type="text/javascript">
window.alert("xss");
</script><a href="http://www.example.nl/hack"> Ga terug </a>
Daarom is $_SERVER['HTTP_REFERER'] onveilig.
Verbeter me als ik het fout heb
Paradox - op 02/09/2010 21:50:02:
Waarom is dat onveilig, *I need to see a working example*?
Edit; Als ik google btw zie ik toch niet direct veel relevante resultaten hoor?
Carlo boy op 02/09/2010 21:47:21:
met
kan je zien waarvan de gebruiker vandaan komt. Dit is niet altijd veilig. Maar je kan dit bijvoorbeeld in een link zetten:
Als ik dit locaal test werkt het niet, vertrouw er dus niet te veel op..
ps. $_SERVER['HTTP_REFERER'] is onveilig
Code (php)
1
2
3
2
3
<?php
$_SERVER['HTTP_REFERER']
?>
$_SERVER['HTTP_REFERER']
?>
kan je zien waarvan de gebruiker vandaan komt. Dit is niet altijd veilig. Maar je kan dit bijvoorbeeld in een link zetten:
Code (php)
1
2
3
2
3
<?php
echo '<a href="'.addslashes(htmlspecialchars($_SERVER['HTTP_REFERER'])).'" > Ga terug </a>';
?>
echo '<a href="'.addslashes(htmlspecialchars($_SERVER['HTTP_REFERER'])).'" > Ga terug </a>';
?>
Als ik dit locaal test werkt het niet, vertrouw er dus niet te veel op..
ps. $_SERVER['HTTP_REFERER'] is onveilig
Waarom is dat onveilig, *I need to see a working example*?
Edit; Als ik google btw zie ik toch niet direct veel relevante resultaten hoor?
Het is onveilig omdat de gebruiker deze 'variable' kan worden aangepast. Ik typ bijv. dit in mijn aderes balk: "></a><script type="text/javascript">
window.alert("xss");
</script><a href="http://www.example.nl/hack">
En ik ga naar een website waar $_SERVER['HTTP_REFERER'] wordt opgeroepen:
dan wordt de link zo:
<a href=""></a><script type="text/javascript">
window.alert("xss");
</script><a href="http://www.example.nl/hack"> Ga terug </a>
Daarom is $_SERVER['HTTP_REFERER'] onveilig.
Verbeter me als ik het fout heb
Ja, dat klopt. Maar dat betekent dus dat je jezelf hackt :)
Gewijzigd op 02/09/2010 22:26:31 door Pim -
Pagina: « vorige 1 2 3 volgende »