Beispiel für XSS

Torben Brodt · 23. März 2007, 14:17

Ich wollte euch ein Video Tutorial zum Thema XSS Hacking und Local File Inclusion nicht vorenthalten.

Vielleicht seid ihr auf diesen Thread verwiesen worden, weil jemand eine Schwachstelle in eurem Code gefunden hat.

Also:
* Solltet ihr Scripts über externe Parameter wie _GET und _POST inkludieren, oder register_globals anhaben.
* Und dann gleichzeitig noch Uploads anbieten (z.B. über ein Forum)

Dann seid ihr sehr gefährdet!
Schaut euch den Clip an.

http://de.wikipedia.org/wiki/XSS

David · 23. März 2007, 14:44

Hey,

hab mir das Video grad angeschaut. Is ja krass, wie leicht es ist, Code einzuschleusen. Damit könnte man ja die ganze Webseite lahmlegen

Aber ich kenne eigentlich kein Forum, wo über GET eine Seite eingebunden wird :-/

JFoX · 23. März 2007, 15:27

Jo, das ist schon hart... Aber geilies tutorial.

BendIt · 23. März 2007, 15:45

hm... nicht schlecht...

wobei sich da sofort die frage aufwirft, wie aussagekräftig diese aktion war.

wie weit verbreitet ist denn die methode, dateien per URL zu includen?

mir wäre nicht wirklich wohl bei der sache, selbst wenn man das per POST macht ist das "potenzielle" sicherheitsrisiko (für mich zumindest) offensichtlich...oder etwa nicht?

eLKane · 23. März 2007, 16:18

Hehe, da machst du nix... =)

Jetzt müsste hier ein Tutorial rein, wie man sich gegen so etwas schützt =)

Torben Brodt · 23. März 2007, 17:36

Der Beitrag soll keine Panikmache sein. Wer verantwortungsbewusst programmiert hat keine Probleme.

"David" schrieb:

Aber ich kenne eigentlich kein Forum, wo über GET eine Seite eingebunden wird

Das Forum dient hier nur als vermeintlich sichere Datenquelle. Ich bin sicher, dass der Foren-Upload selbst genug Sicherheitsabfragen hat. Dateiendung, Header, ...

Pauschal sollte man einfach verhindern extern manipulierbare Variablen zu includen.

OverSave · 4. April 2007, 14:39

naja ich finde SQL-Injektion besser

EugenE · 9. April 2007, 16:31

Hm davor kann man sich aber schützen

In dem man die Vorhandenen Content-Seiten erstmal ausliest diese als Array-Speichert und dann abfragt "Habe ich diese Datei im `content verzeichnis` ?"

So mache ich es zumindest

GFXShorty · 9. April 2007, 19:27

Hey, ich habe es mir auch einmal angeschaut ist ja ganzschön krass! Hätte nie gedacht das das so leicht geht aber wie gesagt die jenigen die sowas rausfinden sind die Genies =)

Torben Brodt · 9. April 2007, 19:29

man braucht ja nur Postings "in diversen Coding Foren" zu beobachten. Dann findet man schon Schwachstellen.

OverSave · 11. April 2007, 13:51

man kann die lücke gantzleicht schließen

z.b

Quellcode

$id = $_GET['id'];
$id2 = htmlspecialchars($id, ENT_QUOTES);
echo $id2;

70abc · 11. April 2007, 14:38

"OverSave" schrieb:

man kann die lücke gantzleicht schließen

z.b

Quellcode

$id = $_GET['id'];

$id2 = htmlspecialchars($id, ENT_QUOTES);

echo $id2;

Sind htmlspecialchars und htmlentities in Verbindung mit User-Input nicht generell unsicher, da sie die aktuelle Zeichensatzcodierung nicht berücksichtigen? Ich bilde mir ein, ich hab dazu vor ein bis zwei Jahren mal was in einem Vortrag gehört...

70abc

Beispiel für XSS

Beispiel für XSS

"David" schrieb:

Quellcode

"OverSave" schrieb:

Quellcode

Teilen

Tags