XSS Protection

Es ist sehr nützlich, danke.
Aber irre ich mich nicht das da ein VT Bericht im Inhalt sein soll?

Virustotal

Gruß

Secret

WIrd dazu auch nicht gerne mal die ganze Querry hingeschrieben + ein * ?

Danke Aarivex das du nen SQli & XSS Protection gemacht hast hilft jeden ! hoffentlich gibts noch bessere

Hoffe mal dass es funktioniert, danke dafür.

Mit freundlichen Grüßen,
Freezy

Zitat von Aarivex

Und?

Hab es noch nicht ausprobiert, probiere es morgen aus.

Wichtig: Auch trotz einer solchen Datei sollte man alle Lücken einzeln schließen.
Das hier sollte man nach dem Bearbeiten und Schließen von Lücken einfügen, um sicherzugehen, dass alles abgesichert ist.

Vielen Dank.

1. Wieso versteht keiner von euch den Sinn und Zweck von objektorientierter Programmierung?!
2. Es fehlen noch weitere Checks wie z.B. für $_GET und $_COOKIE
3. Hilft nicht immer etwas! Hier ein kleines Beispiel:

Query: "SELECT * FROM .. WHERE id = " . $_POST['id']
$_POST['id']: null union all select 1,2,3,user(),5,database(),7,version()

$_POST['id'] enthält kein ', " oder = und wird von mysql_real_escape_string auch nicht gefiltert. Hier hilft nur eine Konventierung zu Integer oder das Nutzen von Stringliteralen.

Cheers,
Steve Winfield

Ich würde dir empfehlen, das du eine Funktion machst, Empfehlen würde ich dir dies:

<?php


function escape($string) {
         return htmlspecialchars($string, ENT_QUOTES, 'UTF-8');
}

Dann einfach die Funktion aufrufen:

<?php
    foreach($_POST as $post => $p) {
         $_POST[$post] = escape($p);
    }

Wenn mir jemand sagen könnte wie man diese Sicherung sinnvoll anwendet würde ich es in alle AirHost Pakete integrieren.

Zitat von Pyerun

Ich würde dir empfehlen, das du eine Funktion machst, Empfehlen würde ich dir dies:

PHP

<?php


function escape($string) {
         return htmlspecialchars($string, ENT_QUOTES, 'UTF-8');
}

Dann einfach die Funktion aufrufen:

PHP

<?php
    foreach($_POST as $post => $p) {
         $_POST[$post] = escape($p);
    }

Dieser Schutz ist nur gut, wenn jedes POST-Element auf der Seite ausgegeben wird, was selten der Fall ist.
Wenn ein POST-Element nur in die Datenbank eingetragen werden muss, ist dieser Schutz unnötig, da real_escape_string bei Datenbanken völlig ausreicht.
Wenn man wiederrum etwas aus der Datenbank ausgeben möchte, muss man das HTML filtern.

real_escape_string: beim Eintragen in eine Datenbank
htmlentities o. sonstiges: beim Ausgeben von unkontrolliertem Text

Deswegen ist jedes POST-Element zu filtern eine unschöne und machmal unsichere Methode eines Schutzes, da Phoenix POST-Elemente nicht gefiltert in die Datenbank einträgt und deswegen beim Ausgeben, wenn nicht gefiltert, HTML Code ausführen.

Danke dafür, können sicher einige Hotelbesitzer gebrauchen