[Help] Beveiigen tegen XSS

Hi!

Ik vroeg me af hoe je het beste kan beveiligen tegen XSS, heb wat op Google gezocht wat het inhoud
en dacht dat de < en > zou filteren zou helpen, maat dat vind ik lelijk staan, hebben jullie tips? Iemand vernielde me me site door te gebruiken ik bedank jullie alvast!<br /><span style="color: red;">Ik zit op mijn mobiel sorry alvast voor de typfouten</span>

En op je mobiel kon je zeker ook niet even op google kijken?

Raaoul schreef:

En op je mobiel kon je zeker ook niet even op google kijken?

Zoals ik vermeld heb in de topic ik heb gezocht op google wat het inhoud nu zoek ik nog extra tips, niet om extra commentaar dankjewel

Mounssif schreef:

Eerdere citaten tonen

Raaoul schreef:

En op je mobiel kon je zeker ook niet even op google kijken?

Zoals ik vermeld heb in de topic ik heb gezocht op google wat het inhoud nu zoek ik nog extra tips, niet om extra commentaar dankjewel

Zie de php functie: htmlspecialchars()

Raaoul schreef:

Eerdere citaten tonen

Mounssif schreef:

Eerdere citaten tonen

Raaoul schreef:

En op je mobiel kon je zeker ook niet even op google kijken?

Zoals ik vermeld heb in de topic ik heb gezocht op google wat het inhoud nu zoek ik nog extra tips, niet om extra commentaar dankjewel

Zie de php functie: htmlspecialchars()

Zal ik zeker doen bedankt

toevoeging op 30 januari 2013, 23:40:54:
Hmm niet wat ik bedoel vind die &:amp enzo lelijk is Htmlentities geen goede oplossing?

Mounssif schreef:

Eerdere citaten tonen

Raaoul schreef:

Eerdere citaten tonen

Mounssif schreef:

Eerdere citaten tonen

Raaoul schreef:

En op je mobiel kon je zeker ook niet even op google kijken?

Zoals ik vermeld heb in de topic ik heb gezocht op google wat het inhoud nu zoek ik nog extra tips, niet om extra commentaar dankjewel

Zie de php functie: htmlspecialchars()

Zal ik zeker doen bedankt

toevoeging op 30 januari 2013, 23:40:54:
Hmm niet wat ik bedoel vind die &:amp enzo lelijk is Htmlentities geen goede oplossing?

htmlentities doet net hetzelfde. Hoe wil je de < en > dan niet letterlijk als HTML outputten? Dat gaat niet, en daarom veranderd htmlspecialchars en ook htmlentities die tekens om naar ASCII

Mounssif schreef:

vind die &:amp enzo lelijk

Als je dat te zien krijgt dan doe je het fout.

Typ hier op het forum maar eens wat & tekens: &&&&&&&&&&&&&
je ziet er niets van dat het achter de schermen wordt omgezet naar &.

Oke bedankt Ik zoek nog tips voor andere sql injections!!

mysql_real_escape_string ?.?

>.< en XSS != SQLi

Ooit al gehoord van prepared statements

Raaoul schreef:

Ooit al gehoord van prepared statements

ik denk niet dat hij dat gaat snappen je moet bij het begin beginnen

hmah, prepared statements is geen rocket science ofzo hoor.

Echter, prepared statements hoeft niet echt te werken tegen stored xss.

Rogier schreef:

hmah, prepared statements is geen rocket science ofzo hoor.

Echter, prepared statements hoeft niet echt te werken tegen stored xss.

Maar als je html gaat filteren bij het inserten van data in de database ben je sowieso al fout bezig. Filteren komt aan de pas bij het outputten, niet bij het invoeren. Dit omdat je altijd over de originele content wilt beschikken waar niet aan aangekomen is.

Waar zeg ik anders?

Er zijn echt heel veel versies van XSS scripts.
Voorbeeld:
">Afbeelding niet beschikbaarDe oorspronkelijke afbeelding of link ontbreekt.

De "> doet het bypass werk.