  |
| Autor |
Nachricht |
gruenschnabel
Stammuser [User]
Anmeldung: 05.10.04
Beiträge: 32
|
 Verfasst am: 29.04.2005, 11:24 Titel: Frage zur Sicherheit |
 |
|
Hallo,
heute habe ich einmal eine allgemeine Sicherheitsfrage! Und zwar würde ich gerne wissen ob denn eigentlich textfelder eine Gefahr darstellen sobald der User etwas eingeben kann dass in der Datenbank gespeichert wird. Es könnte ja zum Beispiel ausführbarer Code sein und beim Aufrufen des Datensatzes inkl. Ausgabe in einer echo Datei wird dieser dann ausgeführt.
Oder habe ich da einen Gedankenfehler drin?
Was kann man dagegen machen? Gibt es eine Funktion die das Textfeld auf html überprüft?
gruenschnabel
|
|
| Nach oben |
|
 |
JörgK
Beliebter [Mod]
Anmeldung: 09.04.04
Beiträge: 376
|
| Verfasst am: 29.04.2005, 11:38 Titel: |
|
|
Du kannst den Text vor der Ausgabe über htmlentities() oder htmlspecialchars() laufen lassen, dann wird Code im Browser nicht ausgeführt sondern dargestellt. Andere Möglichkeit wäre es, HTML-Tags mit strip_tags() zu entfernen
_________________
 Webnotizen - Forum für XHTML, CSS und SEO - Bookmarks
|
|
| Nach oben |
|
|
magadoo
Erfahrener [User]
Anmeldung: 11.03.05
Beiträge: 65
|
|
| Nach oben |
|
|
JörgK
Beliebter [Mod]
Anmeldung: 09.04.04
Beiträge: 376
|
| Verfasst am: 29.04.2005, 14:15 Titel: |
|
|
Ja, gegen SQL Injection muss man auch Maßnahmen ergreifen, das wurde u.a. auch in folgendem Thread behandelt:
Sicherheitsproblem MySQL -> SQL Injection
nur zur Unterscheidung: das was ich weiter oben beschrieben hatte, sind Maßnahmen gegen Cross Site Scripting (CSS bzw. XSS), d.h. dass von einem Anwender eingegebener Code (zB. JavaScript) bei anderen Anwendern ausgeführt wird
_________________
Webnotizen - Forum für XHTML, CSS und SEO - Bookmarks
|
|
| Nach oben |
|
|
gruenschnabel
Stammuser [User]
Anmeldung: 05.10.04
Beiträge: 32
|
| Verfasst am: 29.04.2005, 22:55 Titel: |
|
|
Ja Jörg, deinen anderen Thread hatte ich vorher schon gelesen. Deswegen bin ich ja auch erst auf das Thema gekommen. Danke. Ich meinte allerdings weniger SQL Sicherheit. Ist das mit den htmlentities dann auch sicher?
Wobei es 100% Sicherheit wohl nie geben wird....
|
|
| Nach oben |
|
|
JörgK
Beliebter [Mod]
Anmeldung: 09.04.04
Beiträge: 376
|
|
| Nach oben |
|
|
|
|
