tecniche di cross site scripting

[olly]

http://sicurezza.html.it/articoli.as...i=39&npagina=2

Ciao ragazzi, ho letto questo articolo davvero interessante: mi domando una cosa, che significa in termini di sicurezza filtrare uno script ??

Ciao e grazie a tutti.

[olly]

Come si toglie il suppotro javascript??

[tia86]

Con i linguaggi ASP, PHP, CGI ecc... puoi creare delle pagine dinamiche, che differiscono dalle normali pagine statiche in quanto il loro contenuto è ottenuto dalla elaborazione del codice contenuto nella pagina dinamica.
Ad esempio, io ho un sito che gestisce le news. Sarebbe molto scomodo se ogni volta che devo mettere una news debba modificare il codice html della pagina e riupparla sul server, faccio in modo che la mia pagina dinamica peschi le news da un database (che contiene le news) e creo una pagina che provvede ad inserire nel db il testo che ho scritto nella mia form.
Ora, se io non filtro quello che c'è nella form, uno dei redattori non ci metterebbe niente ad inserire del codice ad es. javascript nocivo nella news. Con il filtro invece si eliminano tutti i tag rendendo un potenziale script nocivo in semplice testo

[olly]

ok grazie.

Ora, se io non filtro quello che c'è nella form, uno dei redattori non ci metterebbe niente ad inserire del codice ad es. javascript nocivo nella news. Con il filtro invece si eliminano tutti i tag rendendo un potenziale script nocivo in semplice testo

Come si "filtra"???

[tia86]

Originariamente inviato da olly

Come si "filtra"???

Nel testo della news vengono eliminati (o sostituiti) tutti quei caratteri che possono creare uno script.

[Shores]

Per esempio, basta la sostituzione dei simboli di maggiore e minore con le corrispondenti entità HTML, per distruggere già qualsiasi tentativo di scripting nelle form.

Ciao!

[olly]

Nn c'è un elenco di caratteri incriminati da qualche parte???

Grazie mille,

[Shores]

E' sufficiente sostituire i simboli di maggiore e minore: questo disattiva tutti i tag di HTML, il che significa che tutto il resto può comunque restare invariato.

Ciao!

[olly]

Quindi in una pagina, andando su visualizza html, ci si puo' accorgere se c'è qualche problema in questo senso??

Ciao.

[Shores]

No.

Per testare una protezione anti script la cosa più semplice è provare ad inserire un javascript.

Se tu su questo forum fai "Rispondi" e poi nel testo del messaggio scrivi:

<script>
alert("Non è protetto!");
</script>

E poi confermi, se c'è la protezione anti script come qui, non succede nulla, semplicemente vedi postato quel che hai scritto, se non c'è la protezione non vedi quello che hai scritto ma appare una finestrella al centro dello schermo con il messaggio "Non è protetto!" e un pulsante OK.

Ciao!