Problem mit GeSHi und dem großen "Ü"

[Matze]

Hallo

Zitat von BenBE:

Der einzige Angriff wäre also möglich, wenn man dem User die Möglichkeit gibt, JEGLICHES CSS anzugeben.

Das habe ich nicht ganz verstanden. DU meinst, es wäre riskant, wenn GeSHI CSS-Code in die Seite integriert, sodass der Browser dies interpretiert?

Das ginge ja nur mittels HTML-Tags und die werden sowieso durch htmlspecialchars() umgewandelt. Und angenommen, CSS ließe sich "ausführen", was sollte daran so gefährlich sein (vorausgesetzt, HTML kann nicht "ausgeführt" werden)?

Grüße

[BenBE]

GeSHi bietet die Möglichkeit die Styles, mit denen Dinge hervorgehoben werden, zu verändern. Also diese ganzen set_*_style-Methoden. Wenn der Anwender die Möglichkeit hat, diesen eigene Inhalte zu übergeben, so kann er dort beliebige Dinge mit tun; im Falle einer DB als Datenquelle also auch ein derart präparierten Source speichern, der dann von anderen Anwendern aufgerufen wird.

Vermieden werden kann dies, indem man bevor man benutzerdefiniertes CSS an GESHi übergibt, dieses bereits entsprechend filtert.

Beispiel:

Code:

$G->set_strings_style('\'><SCRIPT>alert("xss");</SCRIPT><br lang=\'', false);

Wobei halt '\'><SCRIPT>alert("xss");</SCRIPT>' ein vom Benutzer frei wählbarer String ist.

[Matze]

Hi,

ach da smeinst du. Ich lasse den Benutzer ganz sicher keine eigenen Styles definieren sondern nutze die Attribute, die in den Sprachdateien definiert sind. Also alles in Ordnung.

Grüße