проблемы с безопасностью с повторением введенного пользователем текста

Question

Я принимаю текст пользователя в форме и повторяю его обратно на странице (код также поступает в базу данных, но это подготовленные запросы, поэтому не стоит беспокоиться). Я хотел знать, есть ли какие-либо возможные последствия для безопасности, которые могут быть вызваны этим? На стороне сервера я имею в виду, я знаю, что на стороне клиента вы можете сломать, но можете ли вы дойти до серверной части?

Мне нужно знать, возможно ли что-то подобное eval сделать с этим случаем.

Answer 1

Сценарий, который вы объяснили, называется XSS. Возможно, вы можете скомпрометировать свой сервер с помощью уязвимости XSS, но для этого нужны другие вещи.

Скажите, что у вас есть учетная запись администратора, которая имеет разрешения на внесение изменений конфигурации на ваш сервер через Интернет. Теперь, если злоумышленник создает ссылку XSS и каким-то образом получает от администратора щелчок, его учетная запись будет скомпрометирована.

Как только у нападающего есть доступ администратора, он может систематически управлять всей системой. Это произошло недавно с Apache - read their article on it. Это лучшая рецензия на инцидент с безопасностью, который я когда-либо видел, вы многое узнаете от него.

Answer 2

использовать htmlspecialchars ($ yourstring) в php или разбить персонажей, не нужно открывать возможности для эксплойтов.

Answer 3

Если вы используете вход пользователя напрямую для запроса базы данных SQL, вы можете быть подвергнуты SQL-инъекциям. Просто попробуйте Google для примера.

EDIT: О, я пропустил текст, в котором говорилось, что вы просто повторяете текст. Hm, ну, может быть, пользователь может выдавать команды PHP, если вы оцениваете ввод пользователя. Но я не знаю, почему вы должны это делать, потому что тогда пользователь может выдать на сервер какие-либо команды PHP (что является четким риском безопасности) ...

Answer 4

Использование:

echo htmlentities($string); 

Везде. Если вы не хотите, чтобы открыть приложение десятков возможных атак:

http://ha.ckers.org/xss.html

Если вам нужно повторить в HTML-разметку:

1) Используйте HTMLPurifier на HTML перед его сохранением в базе данных.

2) Я рекомендую использовать фильтрацию XHTML STRICT.

3) Запретить теги, такие как скрипты, фрейм, атрибуты, такие как onclick и т. Д. Список тегов и атрибутов, которые пользователи, входящие в HTML, никогда не понадобятся, довольно длинный. Просто ограничьте их тем, что им может понадобиться, например: p, ol, ul, h1, h2, h3, dl, abbr, img (это может быть опасно, много возможных атак через тег img, будьте осторожны), a (detto) стол, может быть, несколько больше.