Форум программистов, компьютерный форум, киберфорум
Наши страницы
PHP: сети
Войти
Регистрация
Восстановить пароль
 
cooliyev
0 / 0 / 1
Регистрация: 13.02.2015
Сообщений: 42
#1

XSS уязвимость - PHP Сети

08.12.2017, 15:13. Просмотров 288. Ответов 13
Метки нет (Все метки)

Добрый день, при добавлении в урл таких запросов
?d=1&search=the'"()%26%25<acx><ScRiPt%20>alert(9925)</ScRiPt>&view=search
?%27"--></style></scRipt><scRipt>alert(0x0012C0)</scRipt>
?id=1?%27"--></style></scRipt><scRipt>alert(0x0012C0)</scRipt>&page=2&view=not_kont
скрипты обрабатываются и в данных случаях появляются нежелательные окошки.
В htaccess добавил такую строку RewriteCond %{QUERY_STRING} (\<|%3C).*script.*(\>|%3E) [NC,OR], но уязвимость осталась. Подскажите, пожалуйста, как избавиться от уязвимостей в урлах?
http://www.cyberforum.ru/php-network/thread568643.html
0
Надоела реклама? Зарегистрируйтесь и она исчезнет полностью.
Similar
Эксперт
41792 / 34177 / 6122
Регистрация: 12.04.2006
Сообщений: 57,940
08.12.2017, 15:13
Я подобрал для вас темы с готовыми решениями и ответами на вопрос XSS уязвимость (PHP Сети):

Уязвимость сайта
Всем привет! Сайт сделан на старой самописной CMS. На формуме сайта стали...

Уязвимость php файла
Здравствуйте Уважаемые! Есть файл myfile.php, и в начале этого файла стоит...

Проверка сайта на уязвимость
Скажите пожалуйста как можно проверить свой сайта на уязвимость, например на...

XSS уязвимость
Имеется код вида. &lt;a href=&quot;#&quot; class=&quot;brand&quot; onclick=&quot;&quot;&gt; &lt;img src=&quot;#&quot;&gt;...

Xss уязвимость
Не знаю разрешены ли здесь подобные темы, если нет - извините.. на...

13
ytf
199 / 212 / 174
Регистрация: 15.08.2017
Сообщений: 1,181
08.12.2017, 16:55 #2
xss - миф
просто нужно экранировать слова функцией mysql_real_escape_string
0
cooliyev
0 / 0 / 1
Регистрация: 13.02.2015
Сообщений: 42
08.12.2017, 17:31  [ТС] #3
Дело в том, что они экранируются в самой форме. если в поиск вставить такое, то поиск ничего не найдет. а если добавить в адресную строку, то получается уязвимость
0
ytf
199 / 212 / 174
Регистрация: 15.08.2017
Сообщений: 1,181
08.12.2017, 17:41 #4
Цитата Сообщение от cooliyev Посмотреть сообщение
появляются нежелательные окошки
окошки пояляются из-за кода, а не из-за урл

Добавлено через 1 минуту
Цитата Сообщение от cooliyev Посмотреть сообщение
получается уязвимость
какая уязвимость?
0
BKmm
10 / 46 / 7
Регистрация: 28.11.2017
Сообщений: 97
08.12.2017, 21:42 #5
Цитата Сообщение от cooliyev Посмотреть сообщение
скрипты обрабатываются
Покажите, как вы эти запросы обрабатываете? Вероятно, никак. Если в урле можно прописать даже теги

Добавлено через 1 минуту
Цитата Сообщение от cooliyev Посмотреть сообщение
Подскажите, пожалуйста, как избавиться от уязвимостей в урлах?
От тегов вот эта функция спасает http://www.php.su/strip_tags
0
_BoGdaN_
19 / 1 / 3
Регистрация: 02.11.2016
Сообщений: 132
Завершенные тесты: 1
13.12.2017, 16:32 #6
Цитата Сообщение от cooliyev Посмотреть сообщение
как избавиться от уязвимостей в урлах?
По моему в этом ЧПУ спасает

Добавлено через 2 минуты
То есть, мы будем создавать пути по которым пользователь может обратиться к серверу, и если такого пути нету мы можем просто остановить выполнение скрипта.
0
Jewbacabra
Эксперт PHP
3090 / 2677 / 1223
Регистрация: 24.04.2014
Сообщений: 8,189
13.12.2017, 17:06 #7
ytf, xss не миф, и для защиты от него следует использовать htmlspecialchars. Escape_string сюда мешать не надо
0
_BoGdaN_
19 / 1 / 3
Регистрация: 02.11.2016
Сообщений: 132
Завершенные тесты: 1
13.12.2017, 18:16 #8
Jewbacabra, а это спасет же?
Цитата Сообщение от _BoGdaN_ Посмотреть сообщение
То есть, мы будем создавать пути по которым пользователь может обратиться к серверу, и если такого пути нету мы можем просто остановить выполнение скрипта.
0
BKmm
10 / 46 / 7
Регистрация: 28.11.2017
Сообщений: 97
13.12.2017, 18:39 #9
_BoGdaN_, а для того что бы узнать есть такой путь или нет в базу следует обращаться? Ведь так? Сайт то у нас динамический. SQL-инъекции возможны.
0
Jewbacabra
Эксперт PHP
3090 / 2677 / 1223
Регистрация: 24.04.2014
Сообщений: 8,189
13.12.2017, 19:52 #10
_BoGdaN_, то что вопросе больше на гет параметры похоже чем на путь
0
ytf
199 / 212 / 174
Регистрация: 15.08.2017
Сообщений: 1,181
13.12.2017, 20:26 #11
1. при получении сообщения от пользователя я удаляю из него лишние теги

PHP
1
$text = strip_tags($text, "<p><div><br><a><b><strong>");
2. перед добавлением в базу данных значения всех полей у меня экранируются функцией mysql_real_escape_string
или скриптом https://github.com/plohoyav/php_mysql_upros
0
BKmm
10 / 46 / 7
Регистрация: 28.11.2017
Сообщений: 97
15.12.2017, 09:54 #12
Цитата Сообщение от ytf Посмотреть сообщение
1. при получении сообщения от пользователя я удаляю из него лишние теги
Да лучше все удалять. Например, в комментариях кто-то не закроет тег и вся верстка полетит к черту.
0
ytf
199 / 212 / 174
Регистрация: 15.08.2017
Сообщений: 1,181
15.12.2017, 10:08 #13
Цитата Сообщение от BKmm Посмотреть сообщение
в комментариях кто-то не закроет тег
можно сделать проверку закрытия тегов,
можно сделать проверку модераторами, увидят что полетела верстка - удалят сообщение
0
little endian
-25 / 5 / 5
Регистрация: 21.12.2017
Сообщений: 59
21.12.2017, 16:31 #14
Цитата Сообщение от Jewbacabra Посмотреть сообщение
ytf, xss не миф, и для защиты от него следует использовать htmlspecialchars. Escape_string сюда мешать не надо
вот правильный ответ
а то некоторые умельцы (причём даже на пхпклабе) советуют в сыром виде пихать в БД, а дескать при выводе уже пусть решают - чё как отображать
только лучше свою ф-ю написать, чтобы и -- \/ ` % _ кодировать
0
21.12.2017, 16:31
MoreAnswers
Эксперт
37091 / 29110 / 5898
Регистрация: 17.06.2006
Сообщений: 43,301
21.12.2017, 16:31
Привет! Вот еще темы с решениями:

XSS
Здравствуйте, что то я не могу понять почему у меня срабатывает ...

XSS-атаки
Много читал в интернете о XSS-атаках.Не скажу,что ничего не понял,но все как-то...

Защита от XSS
Привет всем. Нашел в инете сканер XSS прошелся по сайту на локалхосте и он мне...

XSS script URI
Здраствуйте форумчане, у меня такая вот проблемка. Проверял свой сайт на...


Искать еще темы с ответами

Или воспользуйтесь поиском по форуму:
14
Ответ Создать тему
Опции темы

КиберФорум - форум программистов, компьютерный форум, программирование
Powered by vBulletin® Version 3.8.9
Copyright ©2000 - 2018, vBulletin Solutions, Inc.
Рейтинг@Mail.ru