Ir para conteúdo

POWERED BY:

Arquivado

Este tópico foi arquivado e está fechado para novas respostas.

Phil Santos

Prevenção de XSS e outros ataques

Recommended Posts

Olá pessoal,

Eu estou com um tópico em que o Ultimate está me ajudando e ele citou um tal de XSS(perdão mas sou iniciante em programação), daí eu saí do meu post e fiz uma busca no campo de busca aqui do forum e não retornou para mim nada sobre prevenção desse XSS.

No post eu havia perguntado se eu poderia inserir manualmente(copiar e colar) minhas páginas em HTML inclusive com as tags no banco de dados do meu host e o Ultimate disse que sim, porém que eu deveria ter cuidado com XSS maliciosos(ele citou Javascript).

Eu fiz uma pesquisa no Google e li por cima o que é um XSS então senti a necessidade de fazer este post porque eu até estava feliz por ter uma maneira simples para um inciante de inserir minhas páginas dentro do banco de dados do meu host, mas agora fiquei com medo de ter esses "ataques" e de perder tempo inserindo muitas páginas no meu banco de dados e depois ter que apagar o banco ou ter que ficar corrigindo página por página no banco ou até ter que fazer tudo de novo.

Gostaria de saber todas, se possível, claro, as formas de prevenir esses XSS, para ajudar todos que consultarem o post futuramente, porém gostaria de pedir aos colegas que me dissessem como prevenir isso na minha aplicação que consiste em apenas copiar e colar as páginas HTML dos meus sites no banco, porém sem as tags "html", "head" e "body", eu coloco só o conteúdo que fica dentro de uma div "global" que fica dentro da body e coloco no banco esse conteúdo com as tags div, p, h1, h2, br, th, tr, td e os links(a href="") para a pessoa quando clicar no título, no "continue lendo" ou "leia mais", ser levada para a página real do site fora do banco de dados.

Pergunto se procedendo desta forma supra citada tem risco de sofrer os ataques?

Outra coisa que eu fiquei preocupado e achei importante dar uma ênfase e perguntar é que nos links dentro do banco de dados que vão aparecer na busca eu coloco o endereço dos meus sites (http://www.meusite.com.br/pastas/arquivo.php ou .html), isso é perigoso? Deixa vulnerável? Se sim como prevenir ao colocar os links?

De resto tudo o que eu não perguntei que os colegas julgarem importante acrescentar para ajudar tanto a mim quanto à todos que futuramente lerem o post eu peço que o façam e desde já agradeço.

Atenciosamente,

Phil

Compartilhar este post


Link para o post
Compartilhar em outros sites

htmlentities() e htmlspecialchars() resolvem o problema

Se você quiser imprimir o texto formatado (interpretar as tags salvas no banco), ignore apenas as tags perigosas (como <script>). Recomendo ignorá-las antes de salvar no banco.

Compartilhar este post


Link para o post
Compartilhar em outros sites

  • Conteúdo Similar

    • Por violin101
      Caros amigos, saudações.
       
      Por favor, me permita tirar uma dúvida com os amigos.

      Tenho um Formulário onde o Usuário digita todos os Dados necessários.

      Minha dúvida:
      --> como faço após o usuário digitar os dados e salvar, o Sistema chamar uma Modal ou mensagem perguntando se deseja imprimir agora ?

      Grato,
       
      Cesar
    • Por Carcleo
      Tenho uma abela de usuarios e uma tabela de administradores e clientes.
      Gostaria de uma ajuda para implementar um cadastro
       
      users -> name, login, passord (pronta) admins -> user_id, registratiom, etc.. client -> user_id, registratiom, etc...
      Queria ajuda para extender de user as classes Admin e Client
      Olhem como estáAdmin
      <?php namespace App\Models; use Illuminate\Database\Eloquent\Factories\HasFactory; use Illuminate\Database\Eloquent\Model; class Admin extends User {     use HasFactory;            protected $fillable = [         'name',         'email',         'password',         'registration'     ];      private string $registration;     public function create(         string $name,          string $email,          string $password,         string $registration     )     {         //parent::create(['name'=>$name, 'email'=>$email, 'password'=>$password]);         parent::$name = $name;         parent::$email = $email;         parent::$password = $password;         $this->registration = $registration;     } } User
      <?php namespace App\Models; // use Illuminate\Contracts\Auth\MustVerifyEmail; use Illuminate\Database\Eloquent\Factories\HasFactory; use Illuminate\Foundation\Auth\User as Authenticatable; use Illuminate\Notifications\Notifiable; use Illuminate\Database\Eloquent\Relations\BelongsToMany; class User extends Authenticatable {     /** @use HasFactory<\Database\Factories\UserFactory> */     use HasFactory, Notifiable;     static string $name;     static string $email;     static string $password;     /**      * The attributes that are mass assignable.      *      * @var list<string>      */     protected $fillable = [         'name',         'email',         'password',     ];          /**      * The attributes that should be hidden for serialization.      *      * @var list<string>      */     protected $hidden = [         'remember_token',     ];     /**      * Get the attributes that should be cast.      *      * @return array<string, string>      */     protected function casts(): array     {         return [             'email_verified_at' => 'datetime',             'password' => 'hashed',         ];     }          public function roles() : BelongsToMany {         return $this->belongsToMany(Role::class);     }       public function hasHole(Array $roleName): bool     {                 foreach ($this->roles as $role) {             if ($role->name === $roleName) {                 return true;             }         }         return false;     }         public function hasHoles(Array $rolesName): bool     {                 foreach ($this->roles as $role) {             foreach ($rolesName as $rolee) {             if ($role->name === $rolee) {                 return true;             }          }         }         return false;     }         public function hasAbility(string $ability): bool     {         foreach ($this->roles as $role) {             if ($role->abilities->contains('name', $ability)) {                 return true;             }         }         return false;     }     } Como gravar um Admin na tabela admins sendo que ele é um User por extensão?
      Tentei assim mas é claro que está errado...
      public function store(Request $request, Admin $adminModel) {         $dados = $request->validate([             "name" => "required",             "email" => "required|email",             "password" => "required",             "registration" => "required"         ]);         $dados["password"] =  Hash::make($dados["password"]);                  $admin = Admin::where("registration",  $dados["registration"])->first();                  if ($admin)              return                    redirect()->route("admin.new")                             ->withErrors([                                 'fail' => 'Administrador já cadastrados<br>, favor verificar!'                   ]);                            $newAdmin = $adminModel->create(                                    $dados['name'],                                    $dados['email'],                                    $dados['password'],                                    $dados['registration']                                 );         dd($newAdmin);         $adminModel->save();         //$adminModel::create($admin);                  return redirect()->route("admin.new")->with("success",'Cadastrado com sucesso');     }  
    • Por violin101
      Caros amigos, saudações.
       
      Gostaria de tirar uma dúvida com os amigos, referente a PDV.
       
      Estou escrevendo um Sistema com Ponto de Vendas, a minha dúvida é o seguinte, referente ao procedimento mais correto.

      Conforme o caixa vai efetuando a venda, o Sistema de PDV já realiza:
      a baixa direto dos produtos no estoque
      ou
      somente após concretizar a venda o sistema baixa os produtos do estoque ?
       
      Grato,
       
      Cesar
       
    • Por violin101
      Caros amigos do grupo, saudações e um feliz 2025.
       
      Estou com uma pequena dúvida referente a Teclas de Atalho.

      Quando o Caps Lock está ativado o Comando da Tecla de Atalho não funciona.
      ou seja:
      se estiver para letra minúscula ====> funciona
      se estiver para letra maiúscula ====> não funciona
       
      Como consigo evitar essa falha, tanto para Letra Maiúscula quanto Minúscula ?

      o Código está assim:
      document.addEventListener( 'keydown', evt => { if (!evt.ctrlKey || evt.key !== 'r' ) return;// Não é Ctrl+r, portanto interrompemos o script evt.preventDefault(); });  
      Grato,
       
      Cesar
    • Por violin101
      Caros amigos, saudações.
       
      Por favor, poderiam me ajudar.

      Estou com a seguinte dúvida:
      --> como faço para para implementar o input código do produto, para quando o usuário digitar o ID o sistema espera de 1s a 2s, sem ter que pressionar a tecla ENTER.

      exemplo:
      código   ----   descrição
           1       -----   produto_A
       
      Grato,
       
      Cesar
×

Informação importante

Ao usar o fórum, você concorda com nossos Termos e condições.