Frage XSS unterbinden aber html belassen

[jappi00]

Hallo ich hätte da noch eine Frage,

ich habe einen WYSIWYG Editor ebtwickelt,
diese Daten werden in einer DB gespeichert:

$stmt = $db->prepare("INSERT INTO Events (ID, `date`, title, body, footer, owner) VALUES (?, ? , ? , ? , ? , ?)");
                                $stmt->bind_param("ssssss", $id, $date, $title, $body, $footer, $owner);
                                $id = "NULL";
                                $date = $_POST['date'];
                                $title = $_POST['title'];
                                $body = $_POST['body'];
                                $footer = $_POST['footer'];
                                $owner = "------";
                                $stmt->execute();

Und an anderer Stelle wieder ausgegeben. Allerdings mache ich mir Sorgen um ein mögliches XSS und somit ein ausnutzen des Editors. Das Problem bei gängigen Lösungen wie strip_tags(); oder htmlspecialchars(): ist das diese auch den Html Code wie zum Beispiel <b></b> unnutz machen. Das alleinige Filtern nach <script> Tags scheint sehr unsicher.

Ich hoffe jemand kann mir helfen!

Mit freundlichen Grüßen,
Jappi00

 

[nookie]

Benutzt du htmlspecialchars() bevor du die Daten in deiner Datenbank ablegst, oder bei der Ausgabe?

 

[jappi00]

Ich hatte es erst bei der Eingabe probiert, hat leider nicht funktioniert... Aktuell verwende ich die Funktion garnicht da vorrerst nur bestimmte Leute Zugriff darauf haben.

 

[jappi00]

Außerdem ist es doch völlig irrelevant ob man das davor oder danach tut?

 

[bdt600]

Au contraire, das ist alles andere als irrelevant.

 

[jappi00]

Mhm werde beides nochmal ausprobieren, danke schonmal

 

[jappi00]

Wie erwartet funktioniert beides nicht mein provisorisches alert('XSS') wird zwar nicht ausgeführt, aber die html text werden immer noch in Klartext angezeigt:( Hat jemand noch eine Idee? Danke schonmal

beim speichern:

$body = htmlspecialchars($_POST['body']);

beim ausgeben:

$row["body"] = htmlspecialchars($row['body']);

 

[bdt600]

Eigentlich stellt sich mir ja die Frage, warum du überhaupt einen WYSIWYG-Editor programmierst, wo es doch so ausgereifte Dinge wie TinyMCE oder CKEditor gibt.
Ich denke, dir bleibt nichts anderes übrig, als alle nicht erwünschten Tags zu ersetzen

 

[jappi00]

Natürlich gibt es diese, aber sie verfügen zum einen nicht über ein php script das xss vorbeugt und zum anderen passen die Lizenzen nicht zu meinem Projekt, mir geht es viel mehr darum mit PHP eine sicheren Weg zu finden wie man auch allgemein javaxript entfernt und html belässt. Es kann ja nicht sein das ich der einzige bin der ein solches Problem hat, hier im Forum klappt es ja auch und ich kann keinen js Code einbinden. Vielen Dank trotzdem :)

 

[jappi00]

Ich versuche es nochmal an einem simplen Beispiel zu erklären:
Ich habe zwei Strings, dient nur zur verdeutlichung:

$xss = "<script>alert('XSS');</script>";
$html= "<b>TEST</b>";

nun möchte ich das der alert nicht ausgegeben wird dazu wende ich

echo htmlspecialchars($xss . $html);

an, erhalten tu ich genau diese Ausgabe:

<script>alert('XSS');</script><b>TEST</b>

Das problem ist das die HTML Tags erhalten bleiben sollen.
Ich hoffe jetzt ist es verständlicher

Mit freundlichen Grüßen,
Jappi00

 

[bdt600]

hier im Forum klappt es ja auch und ich kann keinen js Code einbinden.

Wie ich schon sagte, du musst alle Tags, die du verhindern willst, selber filtern.

 

[jappi00]

Ja natürlich, aber es gibt ja wesentlich mehr Möglichkeiten js einzuschleusen z.b. über css oder über onLoad(); oder stehe ich grade auf dem Schlauch?

 

[nookie]

Natürlich, es gibt zählige Möglichkeiten Cross-Site Scripting auszuführen.

Siehe hier: https://www.owasp.org/index.php/XSS_Filter_Evasion_Cheat_Sheet

Und hier auch noch dierekt die Regeln zum verhindern von XSS: https://www.owasp.org/index.php/XSS_(Cross_Site_Scripting)_Prevention_Cheat_Sheet

 

[jappi00]

Danke euch allen, die Lösung lag praktisch vor meinen Augen! Sie liegt in dem Frame in welchem ich grade Tippe! ich greife einfach auf den BBCode Syntax zurück und kann mich so mit den üblichen PHP Methoden vor XSS schützen.

Danke für eure Mühen,
Jan-Phillip Oesterling

 

[sysop]

Danke euch allen, die Lösung lag praktisch vor meinen Augen! Sie liegt in dem Frame in welchem ich grade Tippe! ich greife einfach auf den BBCode Syntax zurück und kann mich so mit den üblichen PHP Methoden vor XSS schützen.
.....

Bitte wie?
Es gibt keine PHP-Methoden zum Schutz vor XSS, könntest du deine Lösung bitte etwas genauer beschreiben?

 

[jappi00]

http://php.net/manual/en/function.htmlspecialchars.php oder http://htmlpurifier.org/ :)

 

[scbawik]

http://php.net/manual/en/function.htmlspecialchars.php oder http://htmlpurifier.org/ :)

Gibt dann halt unter Umständen noch weitere Schwachstellen wie bspw. CSRF:
[IMG=https://www.html.de/account/[email protected]][/IMG]
Das muss jedoch serverseitig abgewehrt werden.

 

[jappi00]

Wenn ich allerdings nur auf Html Purifier, und den BBCode weglasse,zurückgreife sollte die Seite doch geschützt sein oder?