Cross-site request forgery

Gestart doorMounssif17 feb 20139 reacties29 weergaven

10 berichten · pagina 1 van 1

Lid · Topicstarter

Berichten: 1.284
Reputatie: 0
Punten: 0,00

Lid sinds: 2012
Laatst gezien: 12 jun 2025

17 feb 2013, 00:11

Hallo,

Hoe kan ik voorkomen dat mensen geen gebruik kunnen maken van XSS?

Ik heb namelijk een website http://pastebox.nl]pastebox.nl
En je kan daar Html sources zetten en uitvoeren nu is het probleem dat je ook header(location

; etc kan uitvoeren... htmlentities werkt niet omdat je de HTML moet uitvoeren en als ik htmlentities gebruik zie je alleen de source.. Voorbeeld: http://pastebox.nl/view/19.html

Hartelijk bedankt!

Rogier

Lid

Berichten: 6.485
Reputatie: 0
Punten: 0,00

Lid sinds: 2008
Laatst gezien: 12 jun 2025

17 feb 2013, 08:37

// verkeerd begrepen.

Filteren op de

Mounssif

Lid · Topicstarter

Berichten: 1.284
Reputatie: 0
Punten: 0,00

Lid sinds: 2012
Laatst gezien: 12 jun 2025

17 feb 2013, 10:08

Rogier schreef:
// verkeerd begrepen.

Filteren op de

Aarclay

Lid

Berichten: 10.421
Reputatie: 4
Punten: 0,00

Lid sinds: 2012
Laatst gezien: 11 jun 2026

17 feb 2013, 10:14

Jouw titel bschrijft CSRF en jij hebt het over XSS.

Met XSS kan je wel cookies stelen, iets dat je niet wilt.

Mounssif

Lid · Topicstarter

Berichten: 1.284
Reputatie: 0
Punten: 0,00

Lid sinds: 2012
Laatst gezien: 12 jun 2025

17 feb 2013, 10:36

Aarclay schreef:
Jouw titel bschrijft CSRF en jij hebt het over XSS.

Met XSS kan je wel cookies stelen, iets dat je niet wilt.

Zijn eigenlijk 2 problemen XSS en CSRF en hoe disable ik dat ze cookies stelen? Met javascript of wat?

toevoeging op 17 februari 2013, 10:40:49:
Ik zou eigenlijk de

Aarclay

Lid

Berichten: 10.421
Reputatie: 4
Punten: 0,00

Lid sinds: 2012
Laatst gezien: 11 jun 2026

17 feb 2013, 12:45

Mijn advies, sta helemaal geen HTML toe en gebruik htmlentities().

Als je wel HTML wilt gebruiken, maar goed wilt controleren op slechte input, kijk dan eens naar HTMLpurifier. Ik heb er nooit mee gewerkt, maar het kan ene hoop ellende tegenhouden, heb ik gehoord.

Mounssif

Lid · Topicstarter

Berichten: 1.284
Reputatie: 0
Punten: 0,00

Lid sinds: 2012
Laatst gezien: 12 jun 2025

17 feb 2013, 13:20

Aarclay schreef:
Mijn advies, sta helemaal geen HTML toe en gebruik htmlentities().

Als je wel HTML wilt gebruiken, maar goed wilt controleren op slechte input, kijk dan eens naar HTMLpurifier. Ik heb er nooit mee gewerkt, maar het kan ene hoop ellende tegenhouden, heb ik gehoord.

Het is PasteHTML , waarom zou je dan geen HTML toestaan, ik vraag me alleen af hoe Pastehtml.com dit doet! Zal eens een berichtje sturen toch bedankt

Smiegles

Lid

Berichten: 4.912
Reputatie: 0
Punten: 0,00

Lid sinds: 2009
Laatst gezien: 13 jan 2023

17 feb 2013, 13:26

Je kunt ook ziets gaan doen.

[COLOR= #0000BB]<?php[/COLOR]
[COLOR= #007700]function[/COLOR] filter[COLOR= #007700]([/COLOR][COLOR= #0000BB]$text[/COLOR][COLOR= #007700]) {[/COLOR]
[COLOR= #0000BB]$text[/COLOR] [COLOR= #007700]=[/COLOR] [URL="http://www.php.net/str_replace"]str_replace[/URL][COLOR= #007700]([/COLOR][COLOR= #DD0000]"document.cookie"[/COLOR][COLOR= #007700],[/COLOR][COLOR= #DD0000]""[/COLOR][COLOR= #007700],[/COLOR][COLOR= #0000BB]$text[/COLOR][COLOR= #007700]);[/COLOR]

[URL="http://www.php.net/return"]return[/URL] [COLOR= #0000BB]$text[/COLOR][COLOR= #007700];
}[/COLOR]
?>

Wouterr

Lid

Berichten: 5.274
Reputatie: 1
Punten: 0,01

Lid sinds: 2009
Laatst gezien: 20 aug 2025

Eindhoven, Nederland

17 feb 2013, 14:21

Smiegles schreef:

Je kunt ook ziets gaan doen.

[COLOR= #0000BB]<?php[/COLOR]
[COLOR= #007700]function[/COLOR] filter[COLOR= #007700]([/COLOR][COLOR= #0000BB]$text[/COLOR][COLOR= #007700]) {[/COLOR]
[COLOR= #0000BB]$text[/COLOR] [COLOR= #007700]=[/COLOR] [URL="http://www.php.net/str_replace"]str_replace[/URL][COLOR= #007700]([/COLOR][COLOR= #DD0000]"document.cookie"[/COLOR][COLOR= #007700],[/COLOR][COLOR= #DD0000]""[/COLOR][COLOR= #007700],[/COLOR][COLOR= #0000BB]$text[/COLOR][COLOR= #007700]);[/COLOR]

[URL="http://www.php.net/return"]return[/URL] [COLOR= #0000BB]$text[/COLOR][COLOR= #007700];
}[/COLOR]
?>

of gewoon cookie. Want ze kunnen de document ook opslaan in een var en die var gebruiken.

Smiegles

Lid

Berichten: 4.912
Reputatie: 0
Punten: 0,00

Lid sinds: 2009
Laatst gezien: 13 jan 2023

17 feb 2013, 15:12

#10

Wouterr schreef:

Eerdere citaten tonen

Smiegles schreef:
Je kunt ook ziets gaan doen.

[COLOR= #0000BB]<?php[/COLOR]
[COLOR= #007700]function[/COLOR] filter[COLOR= #007700]([/COLOR][COLOR= #0000BB]$text[/COLOR][COLOR= #007700]) {[/COLOR]
[COLOR= #0000BB]$text[/COLOR] [COLOR= #007700]=[/COLOR] [URL="http://www.php.net/str_replace"]str_replace[/URL][COLOR= #007700]([/COLOR][COLOR= #DD0000]"document.cookie"[/COLOR][COLOR= #007700],[/COLOR][COLOR= #DD0000]""[/COLOR][COLOR= #007700],[/COLOR][COLOR= #0000BB]$text[/COLOR][COLOR= #007700]);[/COLOR]

[URL="http://www.php.net/return"]return[/URL] [COLOR= #0000BB]$text[/COLOR][COLOR= #007700];
}[/COLOR]
?>

of gewoon cookie. Want ze kunnen de document ook opslaan in een var en die var gebruiken.

je ze kunnen ook het script ergens anders hosten het is ook zeker niet 100% water dicht.

Jouw reactie

Deel je idee, stel een vraag of help een ander verder.