O'Reilly logo

PHP-Sicherheit: PHP/MySQL-Webanwendungen sicher programmieren by Stefan Esser, Christopher Kunz

Stay ahead with the world's most comprehensive technology and business learning platform.

With Safari, you learn the way you learn best. Get unlimited access to videos, live online training, learning paths, books, tutorials, and more.

Start Free Trial

No credit card required

4 Cross-Site Scripting90
Es gibt Tricks, dieses Escaping zu überlisten und bestimmte Strings
trotzdem in seinem Schadcode unterzubringen – dazu später mehr.
4.9 Angriffspunkte für XSS
Das eben beschriebene XSS ist ein etwas überspitztes Beispiel, das
jedoch leider nicht völlig aus der Luft gegriffen ist. Bei flüchtigen
Sicherheitsüberprüfungen fanden wir des Öfteren wahrlich haarsträu-
bende Möglichkeiten, das eine oder andere Popup anzeigen oder
Cookies entwenden zu lassen. Die »Top Five« der durch XSS angreif-
baren Stellen sehen wie folgt aus:
Fünf problematische
Anwendungen
Suchformulare – der Klassiker
Suchen Sie einmal auf einer beliebigen PHP-Site mit der internen
Suchmaschine nach »"><script>« – Sie werden oft fündig. Sobald
der Suchbegriff auf den Ergebnisseiten – im HTML-Sourcecode –
angezeigt wird, ist XSS möglich – und auch sonst sollten Betreiber
einer Site-Suche Vorsicht bei der Verarbeitung der Suchanfragen
walten lassen.
Login-Formulare
Auch hier bekommt der Besucher nach einem fehlgeschlagenen
Login oft den verwendeten Benutzernamen zu sehen: »Benutzer
XYZ ist nicht bekannt oder Passwort falsch!« Allzu oft werden
Benutzernamen (oder auch E-Mail-Adressen) nicht auf potenziell
schädliche Zeichen geprüft.
Foren
Wie wir später feststellen werden, sind Foren und CMS leider nicht
ganz so einfach gegen XSS zu sichern, was daran liegt, dass sie bis-
weilen ganz legitim HTML-formatierte Postings annehmen müs-
sen. XSS kann sich in allen Bereichen eines PHP-Forums verstecken
– vom Posting bis hin zu Benutzernamen und -profilen.
Blogs
Diese – im Vergleich zu Webforen – relativ neue Form interaktiver
dynamischer Webseiten ist in hohem Maße von XSS bedroht.
Sowohl in Postings und Kommentaren (die im Wesentlichen wie
ein Onlineforum behandelt werden können), aber auch in den
Blog-typischen Funktionen wie Trackbacks und Aggregationen las-
sen sich XSS-Angriffe leicht unterbringen.
Onlineshops
Mit den Warenkörben vieler populärer Shops kann man bisweilen
interessante Dinge anstellen – oftmals werden Preis- und Mengen-
angaben nicht überprüft, bevor sie in eine temporäre Anzeige bzw.
Warenliste übernommen werden.

With Safari, you learn the way you learn best. Get unlimited access to videos, live online training, learning paths, books, interactive tutorials, and more.

Start Free Trial

No credit card required