10 Antworten in diesem Thema

[Alpha63]

Hallo,

man kann sich ja mittels bestimmter PHP funktionen gegen XSS schützen,
wie kann man diese integrierte funktion umgehen damit XSS wieder geht?

[ProHex]

zB base64

<img src="data:image/gif;base64,R0lGODdhMAAwAPAAAAAAAP///
ywAAAAAMAAwAAAC8IyPqcvt3wCcDkiLc7C0qwyGHhSWpjQu5yqmCYsap
yuvUUlvONmOZtfzgFzByTB10QgxOR0TqBQejhRNzOfkVJ+5YiUqrXF5Y5
lKh/DeuNcP5yLWGsEbtLiOSpa/TPg7JpJHxyendzWTBfX0cxOnKPjgBzi
4diinWGdkF8kjdfnycQZXZeYGejmJlZeGl9i2icVqaNVailT6F5iJ90m6
mvuTS4OK05M0vDk0Q4XUtwvKOzrcd3iq9uisF81M1OIcR7lEewwcLp7tu
NNkM3uNna3F2JQFo97Vriy/Xl4/f1cf5VWzXyym7PHhhx4dbgYKAAA7">

wäre:

<img src="images/myimage.gif">

[Alpha63]

ich würde fast behaupten das alleine <script> umgewandelt wird und deshalb es nicht mehr funktioniert. weil sonst wäre doch facebook und twitter voll mit sowas.

wie schützen die sich eigentlich?

[Aurus]

Mit der php Funktion htmlspecialchars() funktionieren auch base64 URLS nicht mehr, weil größer als (>) & kleiner als (<) auch escaped werden. Deswegen ist es ja so witzig, dass es so viele XSS Lücken gibt

Edit: Schau doch einfach im Quellcode was escaped wird und was nicht. Xss funktioniert ja auch zb durch die onerror Methode:

<img src=x onerror=javascript:alert(1)>

Da brauchste nicht mal Anführungszeichen, oder Hochkommas.

Bearbeitet von Aurus, 15 June 2014 - 15:15 Uhr.

[Alpha63]

Ich komme hier nicht weiter

Please Login HERE or Register HERE to see this link!

meine Lösung:

Please Login HERE or Register HERE to see this link!

funzt nicht.

wenn also < ersetzt werden wie geht es dann halt weiter?

[ProHex]

Please Login HERE or Register HERE to see this link!

erscheint mir eher wie ne HTTP Parameter Polution

[Alpha63]

das heist

[FalkE]

Eigentlich ist doch genug Info gegeben?

Es wird htmlentities benutzt.

Man postet keine Lösung zu einem Hackit..
HTTP PP:

Please Login HERE or Register HERE to see this link!

[Alpha63]

Ach ne.

Ich komme nicht auf die Lösung und finde auch keine Lösung, daher das thread.

[Aurus]

Verstehe das Problem nicht? Gib einfach folgendes ein und sieh dir den Output im Quellcode an:

< > ' " = ( ) asdf

Damit hast du alle benötigten Parameter abgedeckt, nur für den Fall das du dazulernen möchtest...

Dennoch, hier die Lösung:

Versteckter Inhalt
Klicke auf den Danke-Button um den versteckten Inhalt sehen zu können. Nur registrierte Mitglieder haben Zugriff hierauf.

[0x7e]

Nur die Lösung allein hilft ihm beim nächsten mal aber auch nicht weiter.

Als erstes sollte man etwas hinter den Parameter schreiben, was sich im Code leicht finden lässt.

http://hackit.gehaxelt.in/xss/level9.php?name=TEST

Dann schaut man sich den Code an:


Wie dort ersichtlich ist werden keine Anführungszeichen wie üblich, sondern Hochkommas verwendet.
Da Hochkommas also nicht gefiltert werden, sind diese ganz normal nutzbar.

hackit.gehaxelt.in/xss/level9.php?name='+onclick='alert("XSS")

Zuletzt nochmal die Veranschaulichung im Code:

Bearbeitet von 0x7e, 16 June 2014 - 00:57 Uhr.