CInsects-Treffen am Di, 18. Januar

Hackits

 echo 'Hallo '.($_GET['name']);

[1]

Fix:

 echo 'Hallo '.htmlspecialchars($_GET['name']);

[2]

URL-Angriff:

 echo 'Hallo <a href="'.htmlspecialchars($_GET['name']).'">Link</a>';

[3]

Color-Angriff

 function escape_color ($color ) {
   // Alles nach dem Semikolon
   // abschneiden , um keine weiteren
   // CSS - Angaben zuzulassen .
   $color = explode( '; ' , $color );
   return htmlspecialchars( $color[0]);
 }
 $c = escape_color($_GET['color']);

echo ' &lgt;div style =" color : ' . $c . ' ">Testtext ';

[4]

Fragen

Trage hier ein was du noch nicht verstanden hast, oder wass du sonst noch zu dem Tema wissen möchtest.