 Autor
|
Tema: Duda, seguridad XSS (Leído 2,723 veces)
|
CoolTesting
 Desconectado
Mensajes: 76
El ganador es el que sabe perder.
|
Buenas compañeros, esto es simplemente una duda que me surgió mientras hacia unas cuantas pruebas ¿Qué creen de esta seguridadi Anti-XSS? Efectivamente, el XSS lo hacen inyectando etiquetas html, o hasta javascript. Pero se sabe que para abrir una etiqueta se utiliza "<" y para cerrarla "/> Bueno enfin, este es el código html el cual envía lo que escribe el usuario: <A HREF="xss.php?var=hola">Saludar </A> <A HREF="xss.php?var=adios">Despedirse </A>
y Este es mi código "Protector.": <?php //Protección XSS cooltesting $bug = $_GET["var"]; if ((strpos($bug,'<')!== false) or strpos($bug,'>') !==false) { Header("HTTP/1.1 404 Not found"); echo ' <html> <head> <meta http-equiv="Content-Type" content="text/html; charset=utf-8"/> </head> <body> Lo que busca no existe, o dejó de existir. </body> </html> '; }else{ echo'Has escrito: '.$bug; } ?>
Solamente quiero saber si esta es una buena protección, gracias de ante mano. Es que pienso montar un servidor y no me gustaría para nada que me hagan un Deface
|
|
|
|
|
En línea
|
El ganador es el que sabe perder.
|
|
|
|
engel lex
|
si puede servir, aunque puedes usar htmlentities que lo que hará es convertir a todas las "entidades" html (como < es "<", > es ">" y letras acentuadas) en su respectivo html, así las etiquetas quedan destruidas y son meramente visuales
|
|
|
|
|
En línea
|
El problema con la sociedad actualmente radica en que todos creen que tienen el derecho de tener una opinión, y que esa opinión sea validada por todos, cuando lo correcto es que todos tengan derecho a una opinión, siempre y cuando esa opinión pueda ser ignorada, cuestionada, e incluso ser sujeta a burla, particularmente cuando no tiene sentido alguno.
|
|
|
|
|
CoolTesting
Desconectado
Mensajes: 76
El ganador es el que sabe perder.
|
¿Por qué no serviría, si se verifica si contiene "<" o ">" y si lo tiene simplemente no lo muestra, me dirías por qué no? Gracias
|
|
|
|
|
En línea
|
El ganador es el que sabe perder.
|
|
|
CoolTesting
Desconectado
Mensajes: 76
El ganador es el que sabe perder.
|
OK,OK,OK ya entendí o creo que entendí sin necesidad de que respondas, solo dime si estoy en lo correcto: El problema es que el código "inyectado" no lo muestra, pero sí trabaja con él, osea el usuario ve el mensaje: "Lo que busca no existe, o dejó de existir", pero el código si se ha ejecutado, solo que no lo devuelve al cliente. Será por eso que no sirve mucho el código?
|
|
|
|
|
En línea
|
El ganador es el que sabe perder.
|
|
|
|
WHK
|
El tema es el siguiente: Cuando haces una pagina web y necesitas desplegar un dato como por ejemplo el nombre de una persona necesitas utilizar la codificación adecuada (en este caso esa codificación se llama entidad html), por ejemplo, si estamos programando en html vamos a tener un código como este: Ahora, por norma de HTML dice que cuando colocas carácteres especiales estos deben ser codificados siempre en entidad html, por ejemplo: <div><p>Pedro's</p></div> Esto nos mostrará: Ahora, esto no es que yo lo diga o que se le ocurrió a alguien, esto es norma y es parte del estandard del código HTML y esto es para prevenir justamente problemas cuando necesitas escribir código html sobre un html, por ejemplo: Esto escribe: Pero no lo ejecuta. Ahora cuando desde php dejas que las personas pongan lo que se les da la gana puedes provocar que se rompa la codificación completa del documento html y puede que en algunos navegadores no te aparezcan las letras de forma correcta o puedes provocar un agujero de seguridad de tipo XSS. En este punto cuando dejas que la gente escriba lo que sea vas a tener problemas con los caracteres unicode, etiquetas, comillas, ampersand y cualquier carácter interpretable por el navegador. Ahora, porque no es buena idea hacer tu propio filtro como lo acabas de hacer?, porque no eres un experto en seguridad informática ni sabes de memoria todos los posibles vectores de ataques (los cuales son muchisimos y no solo escribir etiquetas < y >). Por ejemplo, digamos que mañana necesitas escribir un valor dentro de un parámetro de una etiqueta html: <a href="test.php?texto=<?php echo $_GET['texto']; ?>">link</a>
Dentro del parámetro por url "texto" puedo inyectar un XSS: test.php?texto=" onclick="alert(document.cookie) Entonces tu HTML quedará así: <a href="test.php?texto=" onclick="alert(document.cookie)">link</a>
Y te fijas que acá no usamos < ni >?, ese es otro vector como muchos otros, ahora tendrias que hacer otro filtro distinto para prevenir las comillas, despues tendras problemas con las comillas simples, despues con los backspaces, despues con los caracteres unicode, despues con los saltos de linea, despues con los ampersand, etc etc. Entonces para que no te vueles la cabeza haciendo una chorronada de filtros o un filtro muy grande usas la función HTMLSPECIALCHARS el cual ya está diseñada para filtrar todos los posibles carácteres bajo el contexto necesario. Te recomiendo que nunca dejes la seguridad de una aplicación en tus manos, siempre dejalo en manos del mismo creador del lenguaje de programación o framework que estás utilizando ya que hay gente mas especializada que ya se hizo todas estas preguntas antes y tienen las herramientas suficientes como para crear un ambiente seguro. Saludos. |
|
|
|
|
En línea
|
|
|
|
CoolTesting
Desconectado
Mensajes: 76
El ganador es el que sabe perder.
|
El tema es el siguiente: Cuando haces una pagina web y necesitas desplegar un dato como por ejemplo el nombre de una persona necesitas utilizar la codificación adecuada (en este caso esa codificación se llama entidad html), por ejemplo, si estamos programando en html vamos a tener un código como este: Ahora, por norma de HTML dice que cuando colocas carácteres especiales estos deben ser codificados siempre en entidad html, por ejemplo: <div><p>Pedro's</p></div> Esto nos mostrará: Ahora, esto no es que yo lo diga o que se le ocurrió a alguien, esto es norma y es parte del estandard del código HTML y esto es para prevenir justamente problemas cuando necesitas escribir código html sobre un html, por ejemplo: Esto escribe: Pero no lo ejecuta. Ahora cuando desde php dejas que las personas pongan lo que se les da la gana puedes provocar que se rompa la codificación completa del documento html y puede que en algunos navegadores no te aparezcan las letras de forma correcta o puedes provocar un agujero de seguridad de tipo XSS. En este punto cuando dejas que la gente escriba lo que sea vas a tener problemas con los caracteres unicode, etiquetas, comillas, ampersand y cualquier carácter interpretable por el navegador. Ahora, porque no es buena idea hacer tu propio filtro como lo acabas de hacer?, porque no eres un experto en seguridad informática ni sabes de memoria todos los posibles vectores de ataques (los cuales son muchisimos y no solo escribir etiquetas < y >). Por ejemplo, digamos que mañana necesitas escribir un valor dentro de un parámetro de una etiqueta html: <a href="test.php?texto=<?php echo $_GET['texto']; ?>">link</a>
Dentro del parámetro por url "texto" puedo inyectar un XSS: test.php?texto=" onclick="alert(document.cookie) Entonces tu HTML quedará así: <a href="test.php?texto=" onclick="alert(document.cookie)">link</a>
Y te fijas que acá no usamos < ni >?, ese es otro vector como muchos otros, ahora tendrias que hacer otro filtro distinto para prevenir las comillas, despues tendras problemas con las comillas simples, despues con los backspaces, despues con los caracteres unicode, despues con los saltos de linea, despues con los ampersand, etc etc. Entonces para que no te vueles la cabeza haciendo una chorronada de filtros o un filtro muy grande usas la función HTMLSPECIALCHARS el cual ya está diseñada para filtrar todos los posibles carácteres bajo el contexto necesario. Te recomiendo que nunca dejes la seguridad de una aplicación en tus manos, siempre dejalo en manos del mismo creador del lenguaje de programación o framework que estás utilizando ya que hay gente mas especializada que ya se hizo todas estas preguntas antes y tienen las herramientas suficientes como para crear un ambiente seguro. Saludos. Excelente, muchisimas gracias WHK lo explicaste bastante bien.
|
|
|
|
|
En línea
|
El ganador es el que sabe perder.
|
|
|
|
| Mensajes similares |
|
Asunto |
Iniciado por |
Respuestas |
Vistas |
Último mensaje |
|
|
|
Duda!! seguridad con PHP
PHP
|
miadagio
|
5
|
3,369
|
17 Abril 2010, 16:25 pm
por miadagio
|
|
|
duda de haking de seguridad
Dudas Generales
|
Quake-man
|
5
|
3,238
|
31 Mayo 2010, 19:31 pm
por skapunky
|
|
|
|
duda seguridad RAM
Hardware
|
miguelskk
|
2
|
3,119
|
29 Abril 2012, 16:54 pm
por miguelskk
|
|
|
|
duda (seguridad)
Dudas Generales
|
crash_override01
|
1
|
2,257
|
28 Mayo 2013, 09:05 am
por #!drvy
|
|
|
|
Duda con la publicidad y seguridad
Seguridad
|
Joake6
|
2
|
2,390
|
8 Marzo 2016, 18:40 pm
por Joake6
|
 |
- 