[XSS] Podatność komentarzy/postów

[Vel]

Pytanie dotyczy podatności na ataki XSS komentarzy/postów na forum/wpisów w księgach. Czy podatność np. w komentarzach wyznacza się tylko po obsłudze HTML w nich i po podatności strony?

[lukasz6547]

Pytanie dotyczy podatności na ataki XSS komentarzy/postów na forum/wpisów w księgach. Czy podatność np. w komentarzach wyznacza się tylko po obsłudze HTML w nich i po podatności strony?

nie rozumiem tego 2-giego zdania-jasniej wyjasnij...

[TQM]

Czy podatność np. w komentarzach wyznacza się tylko po obsłudze HTML w nich i po podatności strony?

Nie tylko po obsludze HTML - ta moze byc filtrowana albo zezwalac tylko na pewne tagi.

Czy podatność np. w komentarzach wyznacza się tylko po obsłudze HTML w nich i po podatności strony?

Tego wiekszymi literami tez nie kumam

[Vel]

Powiedzmy, że znalazłem pewną stronę podatną na XSS, gdzie błąd standardowo znajdował się w szukajce.
Następnie chciałem umieścić kod XSS np. w komentarzach albo na forum tejżę strony, ale tam już kod nie został zainterpretowany.
Więc pytam się po czym mogę stwierdzić iż komentarze/posty etc. są podatne na np. XSS?

[VLN]

Jak sprawdzić ? Wydaje mi się że tak samo jak z szukajką. Z tym że na forum(jeżeli jest instalowane|typu phpBB by przemo) to raczej nie znajdziesz tam XSS


Pozdrawiam VLN.

[lukasz6547]

Powiedzmy, że znalazłem pewną stronę podatną na XSS, gdzie błąd standardowo znajdował się w szukajce.
Następnie chciałem umieścić kod XSS np. w komentarzach albo na forum tejżę strony, ale tam już kod nie został zainterpretowany.
Więc pytam się po czym mogę stwierdzić iż komentarze/posty etc. są podatne na np. XSS?

ja ci powiem tak:kady formularz moze byc intepretowany inaczej:jeden dobrze drugi zle...i nie mow o podatnosci strony tylko konkretnego miejsca...a post ma tylko tyle wspolnego z szukaj ze sa przeszukiwane slowa kluczowe(nic wiecej)wiec jak jest dobrze obslugiwane to nic sie nie stanie(lecz sa obejscia czasem)...

[eMCe]

z tego co pamietam w którymś PHPBB by Przemo był błąd właśnie w szukajce z XSS ( szukajka puszczała tagi i wyświetlała szukana frazę :) )

Wracając do tematu bardzo nie wiem o co chodzi :)
Domyślając się masz stronę w której jest błąd w szukajce ? tak ? po czym to poznałeś ? i skoro wiesz ze jest to po co ci jeszcze w postach ? :D

Po czym poznać ze strona jest podatna?
Jeśli wpuszcza i wypuszcza złośliwy kod to jest podatna i tyle ;) ( no jeszcze trzeba wsiąść pod uwagę czy przeglądarka klienta kod wykona :) )

Sprecyzuj pytanie - dostaniesz precyzyjniejszą odpowiedz ;)

[Vel]

po czym to poznałeś ?

Na przyład po wyświetleniu moich cookie albo nawet po zwykłym <b>, <u> itp. Ale już div style z position absolute nie czyta

i skoro wiesz ze jest to po co ci jeszcze w postach

Oczywiście chodzi mi o osadzenie kodu na stałe na stronie, dzięki szukajcie nie uzyskam tego.

[TQM]

Na przyład po wyświetleniu moich cookie albo nawet po zwykłym <b>, <u> itp. Ale już div style z position absolute nie czyta

To logika mowi, ze HTML jest dopuszczony ale tylko okreslone znaczniki - filtrowanie TAGow jest robione najwidoczniej...

[eMCe]

pewnie wyciupane jakimś strip_tags()

ciekawe czy admin dodał coś w stylu strip_tags_attributes() jak nie to jesteś na swoim daj jakieś onMouseOver czy coś w tym stylu napisz jakiś text w stylu uwaga i coś co zaciekawi admina ale tekstu musi troche być pewnie bedzie sobie pomaał czytać kursorem i ciacho twoje