Ir para conteúdo

Arquivado

Este tópico foi arquivado e está fechado para novas respostas.

Phil Santos

Prevenção de XSS e outros ataques

Recommended Posts

Olá pessoal,

Eu estou com um tópico em que o Ultimate está me ajudando e ele citou um tal de XSS(perdão mas sou iniciante em programação), daí eu saí do meu post e fiz uma busca no campo de busca aqui do forum e não retornou para mim nada sobre prevenção desse XSS.

No post eu havia perguntado se eu poderia inserir manualmente(copiar e colar) minhas páginas em HTML inclusive com as tags no banco de dados do meu host e o Ultimate disse que sim, porém que eu deveria ter cuidado com XSS maliciosos(ele citou Javascript).

Eu fiz uma pesquisa no Google e li por cima o que é um XSS então senti a necessidade de fazer este post porque eu até estava feliz por ter uma maneira simples para um inciante de inserir minhas páginas dentro do banco de dados do meu host, mas agora fiquei com medo de ter esses "ataques" e de perder tempo inserindo muitas páginas no meu banco de dados e depois ter que apagar o banco ou ter que ficar corrigindo página por página no banco ou até ter que fazer tudo de novo.

Gostaria de saber todas, se possível, claro, as formas de prevenir esses XSS, para ajudar todos que consultarem o post futuramente, porém gostaria de pedir aos colegas que me dissessem como prevenir isso na minha aplicação que consiste em apenas copiar e colar as páginas HTML dos meus sites no banco, porém sem as tags "html", "head" e "body", eu coloco só o conteúdo que fica dentro de uma div "global" que fica dentro da body e coloco no banco esse conteúdo com as tags div, p, h1, h2, br, th, tr, td e os links(a href="") para a pessoa quando clicar no título, no "continue lendo" ou "leia mais", ser levada para a página real do site fora do banco de dados.

Pergunto se procedendo desta forma supra citada tem risco de sofrer os ataques?

Outra coisa que eu fiquei preocupado e achei importante dar uma ênfase e perguntar é que nos links dentro do banco de dados que vão aparecer na busca eu coloco o endereço dos meus sites (http://www.meusite.com.br/pastas/arquivo.php ou .html), isso é perigoso? Deixa vulnerável? Se sim como prevenir ao colocar os links?

De resto tudo o que eu não perguntei que os colegas julgarem importante acrescentar para ajudar tanto a mim quanto à todos que futuramente lerem o post eu peço que o façam e desde já agradeço.

Atenciosamente,

Phil

Compartilhar este post


Link para o post
Compartilhar em outros sites

htmlentities() e htmlspecialchars() resolvem o problema

Se você quiser imprimir o texto formatado (interpretar as tags salvas no banco), ignore apenas as tags perigosas (como <script>). Recomendo ignorá-las antes de salvar no banco.

Compartilhar este post


Link para o post
Compartilhar em outros sites

  • Conteúdo Similar

    • Por landerbadi
      Boa tarde pessoal. Estou tentado fazer uma consulta no banco de dados porém estou tendo dificuldades. Tenho uma tabela chamada "itens" com os seguintes campos: id, item, ativo. Nela tem cadastrado vários itens. No campo ativo eu coloco a letra "S" para informar que este item está ativo no sistema. Por exemplo: 1, casa, S 2, mesa, S 3, cama, S 4, moto S 5, rádio O quinto registro "radio" não está ativo no sistema pois não tem um "S" no campo ativo. E outra tabela chamada "produtos" com os seguintes campos (id, item1, item2, item3) com os seguintes registros: 1, casa, mesa, moto 2, mesa, casa, cama 3, rádio, cama, mesa Eu preciso fazer uma busca na tabela produtos da seguinte maneira: Eu escolho um registro na tabela "itens", por exemplo "mesa". Preciso fazer com que o php me liste todos os registros da tabela "produtos" que contenham a palavra "mesa". Até aqui tudo bem eu consigo listar. Estou fazendo assim: <?php $item = "mesa" $sql = mysqli_query($conn, "SELECT * FROM produtos WHERE item1 LIKE '$item' OR item2 LIKE '$item' OR item3 LIKE '$item' LIMIT 10"); while($aux = mysqli_fetch_assoc($sql)) { $id = $aux["id"]; $item1 = $aux["item1"]; $item2 = $aux["item2"]; $item3 = $aux["item3"]; echo $id . " - " . $item1 . ", " . $item2 . ", " $item3 . "<br>"; } ?> O problema é que está listando todos os registros que contém o item mesa. Eu preciso que o php verifique os demais item e me liste somente os registro em que todos os registros estejam ativos no sistema. No exemplo acima ele não deveria listar o registro 3. pois nesse registro contém o item "radio" e este item não está ativo no sistema. Ou seja, o registro "radio" na tabela itens não possui um "S" na coluna "ativo". Alguém sabe como resolver isso?
    • Por ILR master
      Fala galera.
      Espero que todos estejam bem.
      Seguinte: Tenho um arquivo xml onde alguns campos estão com : (dois pontos), como o exemplo abaixo:
       
      <item>
      <title>
      d sa dsad sad sadasdas
      </title>
      <link>
      dsadas dsa sad asd as dsada
      </link>
      <pubDate>sadasdasdsa as</pubDate>
      <dc:creator>
      d sad sad sa ad as das
      </dc:creator>
      </item>
       
      Meu código:
       
      $link = "noticias.xml"; 
      $xml = simplexml_load_file($link); 
      foreach($xml -> channel as $ite) {     
           $titulo = $ite -> item->title;
           $urltitulo = $ite -> item->link;
           print $urltitulo = $ite -> item->dc:creator;
      } //fim do foreach
      ?>
       
      Esse campo dc:creator eu não consigo ler. Como faço?
       
      Agradeço quem puder me ajudar.
       
      Abs
       
       
    • Por First
      Olá a todos!
       
      Eu estou criando um sistema do zero mas estou encontnrando algumas dificuldades e não estou sabendo resolver, então vim recorrer ajuda de vocês.
      Aqui está todo o meu código: https://github.com/PauloJagata/aprendizado/
       
      Eu fiz um sistema de rotas mas só mostra o conteúdo da '/' não sei porque, quando eu tento acessar o register nada muda.
      E eu também quero que se não estiver liberado na rota mostra o erro de 404, mas quando eu tento acessar um link inválido, nada acontece.
      Alguém pode me ajudar com isso? E se tiver algumas sugestão para melhoria do código também estou aceitando.
       
       
      Desde já, obrigado.
    • Por landerbadi
      Olá pessoal, boa tarde
       
      Tenho uma tabela chamada "produtos" com os seguintes campos (id, produto) e outra tabela chamada "itens" com os seguintes campos (id, prod_01, prod_02, prod_03, prod_04).
       
      Na tabela produtos eu tenho cadastrado os seguintes produtos: laranja, maçã, uva, goiaba, arroz, feijão, macarrão, etc.
       
      Na tabela itens eu tenho cadastrado os itens da seguinte maneira:
       
      1, laranja, uva, arroz, feijão;
      2, maçã, macarrão, goiaba, uva;
      3, arroz, feijão, maçã, azeite
       
      Meu problema é o seguinte: 
      Eu escolho um produto da tabela "produtos", por exemplo "uva".  Preciso fazer uma consulta na tabela "itens" para ser listado todos os registros que contenham o produto "uva" e que todos os demais produtos estejam cadastrados na tabela "produtos".
       
      No exemplo acima seria listado apenas dois registros, pois o terceiro registro não contém o produto "uva". 
       
      Alguém pode me ajudar? Pois estou quebrando a cabeça a vários dias e não consigo achar uma solução.
    • Por landerbadi
      Boa tarde pessoal. Estou tentado fazer uma consulta no banco de dados porém estou tendo dificuldades. Tenho uma tabela chamada "itens" com os seguintes campos: id, item, plural, ativo. Nela tem cadastrado vários itens e seu respectivo plural. No campo ativo eu coloco a letra "S" para informar que esta palavra está ativa no sistema. Por exemplo: 1, casa, casas, S 2, mesa, mesas, S 3, cama, camas, S 4, moto, motos, S 5, rádio, rádios O quinto registro "radio" não está ativo no sistema pois não tem um "S" no campo ativo. E outra tabela chamada "variações" com os seguintes campos (id, item1, item2, item3) com os seguintes registros: 1, casa, camas, moto 2, mesas, casas, radio 3, rádio, cama, mesa Eu preciso fazer uma busca na tabela variações da seguinte maneira: Eu escolho um registro na tabela "itens", por exemplo "casa". Preciso fazer com que o php me liste todos os registros da tabela "variações" que contenham a palavra "casa". Porém se tiver algum registro com a palavra "casas" também tem que ser listado. Neste caso ele irá encontrar dois registros. Agora eu preciso que o php verifique os demais itens e faça a listagem apenas dos item que estão ativos (que contenham um "S" no campo ativo. Neste caso ele irá encontrar apenas um registro, pois o segundo registro contém a palavra "rádio". E "rádio" não está ativo na tabela itens. Como faço isso?
×

Informação importante

Ao usar o fórum, você concorda com nossos Termos e condições.